Considérants
(1) La cybersécurité représente l’un des plus grands défis pour l’Union. Le nombre et la diversité des appareils connectés vont augmenter de manière exponentielle dans les années à venir. Les cyberattaques sont une question d’intérêt public, car elles ont un impact critique non seulement sur l’économie de l’Union, mais aussi sur la démocratie ainsi que sur la sécurité et la santé des consommateurs. Il est donc nécessaire de renforcer l’approche de l’Union en matière de cybersécurité, de traiter la cyberrésilience au niveau de l’Union et d’améliorer le fonctionnement du marché intérieur en établissant un cadre juridique unique pour les exigences essentielles de cybersécurité applicables à la mise sur le marché de l’Union de produits contenant des éléments numériques. Il s’agirait de s’attaquer à deux problèmes majeurs qui entraînent des coûts élevés pour les utilisateurs et la société : un faible niveau de cybersécurité des produits contenant des éléments numériques, qui se traduit par des vulnérabilités généralisées et la fourniture insuffisante et incohérente de mises à jour de sécurité pour y remédier, et une compréhension et un accès à l’information insuffisants des utilisateurs, qui les empêchent de choisir ou d’utiliser en toute sécurité des produits présentant des caractéristiques de cybersécurité appropriées.
(2) Le présent règlement vise à créer un cadre pour le développement de produits sûrs contenant des éléments numériques, afin que les produits matériels et logiciels mis sur le marché présentent moins de vulnérabilités et que les fabricants se préoccupent systématiquement de la sécurité tout au long du cycle de vie d’un produit. Il vise également à créer des conditions permettant aux utilisateurs de tenir compte de la cybersécurité lorsqu’ils choisissent et utilisent des produits intégrant des éléments numériques, par exemple en améliorant la transparence en ce qui concerne la période de prise en charge des produits intégrant des éléments numériques mis à disposition sur le marché.
(3) La législation de l’Union en vigueur dans ce domaine comprend plusieurs dispositions horizontales qui régissent certains aspects de la cybersécurité sous différents angles, y compris des mesures visant à renforcer la sécurité de la chaîne d’approvisionnement numérique. Toutefois, la législation existante de l’Union en matière de cybersécurité, notamment le règlement (UE) 2019/881 du Parlement européen et du Conseil (3 ) et la directive (UE) 2022/2555 du Parlement européen et du Conseil (4 ), ne prévoit pas d’exigences directement contraignantes pour la sécurité des produits contenant des éléments numériques.
(4) Bien que la législation existante de l’Union s’applique à certains produits contenant des éléments numériques, il n’existe pas de cadre juridique horizontal de l’Union qui fixerait des exigences globales en matière de cybersécurité pour tous les produits contenant des éléments numériques. Les différentes règles et initiatives adoptées jusqu’à présent au niveau de l’Union et au niveau national ne traitent que partiellement les problèmes et les risques identifiés en matière de cybersécurité, ce qui a créé un patchwork législatif au sein du marché intérieur, entraînant une plus grande insécurité juridique tant pour les fabricants que pour les utilisateurs de ces produits, et une plus grande charge inutile pour les entreprises et les organisations qui doivent satisfaire à une série d’exigences et d’obligations différentes concernant des types de produits similaires. La cybersécurité de ces produits a une dimension transfrontalière particulièrement marquée, car les produits contenant des éléments numériques fabriqués dans un État membre ou dans un pays tiers sont souvent utilisés par des organisations et des consommateurs dans l’ensemble du marché intérieur. Il est donc nécessaire de réglementer ce domaine au niveau de l’Union afin d’assurer un cadre juridique harmonisé et la sécurité juridique pour les utilisateurs, les organisations et les entreprises, y compris les micro, petites et moyennes entreprises, telles que définies à l’annexe de la recommandation 2003/361/CE de la Commission (5). L’environnement réglementaire de l’Union devrait être harmonisé par l’introduction d’exigences horizontales de cybersécurité pour les produits contenant des éléments numériques. Il convient également d’assurer la sécurité juridique des opérateurs économiques et des utilisateurs dans l’ensemble de l’Union, ainsi qu’une meilleure harmonisation du marché intérieur et la proportionnalité pour les microentreprises et les petites et moyennes entreprises, ce qui créerait également de meilleures conditions pour les opérateurs économiques qui souhaitent entrer sur ce marché.
(5) En ce qui concerne les micro, petites et moyennes entreprises, les dispositions de l’annexe de la recommandation 2003/361/CE devraient être pleinement appliquées pour déterminer la catégorie à laquelle appartient une entreprise. Par conséquent, lors du calcul de l’effectif et des seuils financiers pour déterminer les types d’entreprises, il convient également d’appliquer les dispositions de l’article 6 de l’annexe de la recommandation 2003/361/CE concernant l’établissement des données d’une entreprise en ce qui concerne certains types d’entreprises, telles que les entreprises partenaires ou les entreprises liées.
(6) La Commission devrait fournir des lignes directrices afin d’aider les opérateurs économiques, en particulier les micro, petites et moyennes entreprises, à appliquer le présent règlement. Ces lignes directrices devraient couvrir, entre autres, le champ d’application du présent règlement, notamment le traitement des données à distance et son incidence sur les développeurs de logiciels libres et à code source ouvert, l’application des critères de fixation des périodes de soutien pour les produits contenant des éléments numériques, l’interaction entre le présent règlement et d’autres textes législatifs de l’Union et la question de savoir ce qui constitue une modification substantielle.
(7) Au niveau de l’Union, plusieurs documents programmatiques et politiques, tels que la communication conjointe de la Commission et du haut représentant de l’Union pour les affaires étrangères et la politique de sécurité du 16 décembre 2020 intitulée “Stratégie de cybersécurité de l’UE pour la décennie numérique”, les conclusions du Conseil sur la cybersécurité des dispositifs connectés du 2 décembre 2020 et les conclusions du Conseil sur la cybersécurité des dispositifs connectés du 2 décembre 2020, ont été adoptés. Le Conseil a demandé que des exigences spécifiques de l’Union en matière de cybersécurité soient imposées aux produits numériques ou en réseau, conformément aux conclusions du Conseil sur le développement de la cyberdéfense de l’Union européenne du 23 décembre 2020 et à la résolution du Parlement européen du 10 juin 2021 sur la stratégie de cybersécurité de l’UE pour la décennie numérique (6) ; parallèlement, plusieurs pays tiers ont pris des mesures pour s’attaquer à ce problème de leur propre initiative. Dans le rapport final de la conférence sur l’avenir de l’Europe, les citoyens ont demandé “un rôle accru de l’UE dans la lutte contre les menaces de cybersécurité”. Pour que l’Union puisse jouer un rôle de premier plan au niveau international dans le domaine de la cybersécurité, il est important de mettre en place un cadre juridique ambitieux.
(8) Afin d’améliorer le niveau global de cybersécurité de tous les produits contenant des éléments numériques mis sur le marché intérieur, il est nécessaire d’introduire des exigences essentielles de cybersécurité objectives et technologiquement neutres pour ces produits, qui s’appliqueront ensuite horizontalement.
(9) Tous les produits contenant des éléments numériques intégrés ou connectés à un système d’information électronique plus large peuvent, dans certaines circonstances, servir de vecteur d’attaque à des acteurs malveillants. Par conséquent, même un matériel et un logiciel considérés comme moins critiques peuvent faciliter la compromission initiale d’un appareil ou d’un réseau et permettre à des acteurs malveillants d’obtenir un accès privilégié à un système ou de se déplacer sur l’ensemble du système. Les fabricants doivent donc veiller à ce que tous les produits contenant des éléments numériques soient conçus et développés conformément aux exigences essentielles de cybersécurité définies dans le présent règlement. Cette obligation concerne à la fois les produits qui peuvent être connectés physiquement par des interfaces matérielles et les produits qui sont connectés logiquement, par exemple par des sockets de réseau, des pipes, des fichiers, des interfaces de programmation d’applications ou d’autres types d’interfaces logicielles. Étant donné que les cybermenaces peuvent se propager à travers différents produits numériques avant d’atteindre une cible spécifique, par exemple par l’enchaînement de plusieurs vulnérabilités exploitables, les fabricants devraient également assurer la cybersécurité des produits numériques qui ne sont connectés qu’indirectement à d’autres équipements ou réseaux.
(10) La définition d’exigences de cybersécurité pour la mise sur le marché de produits contenant des éléments numériques vise à améliorer la cybersécurité de ces produits, tant pour les consommateurs que pour les entreprises. Ces exigences garantissent également que la cybersécurité est prise en compte tout au long de la chaîne d’approvisionnement, rendant ainsi les produits finaux contenant des éléments numériques et leurs composants plus sûrs. Cela concerne également les exigences relatives à la mise sur le marché de produits de consommation contenant des éléments numériques et destinés aux consommateurs vulnérables, tels que les jouets et les systèmes de surveillance pour bébés. Les produits de consommation intégrant des éléments numériques, classés dans le présent règlement comme produits importants intégrant des éléments numériques, présentent un risque plus élevé en matière de cybersécurité, étant donné que leurs fonctions comportent un risque important d’effets négatifs en termes de portée et d’atteinte potentielle à la santé, à la sécurité ou à l’intégrité des utilisateurs de ces produits, et devraient être soumis à une procédure d’évaluation de la conformité plus stricte. C’est le cas des produits tels que les appareils ménagers intelligents dotés de fonctions de sécurité, y compris les serrures de porte intelligentes, les systèmes de surveillance de bébé et les alarmes, les jouets connectés et les dispositifs médicaux portés sur le corps (wearables). En outre, les procédures d’évaluation de la conformité plus strictes auxquelles doivent être soumis les autres produits contenant des éléments numériques, classés comme produits importants ou critiques contenant des éléments numériques dans le présent règlement, contribueront à prévenir tout effet négatif sur les consommateurs qui pourrait résulter de l’exploitation de points faibles.
(11) Le présent règlement vise à assurer un niveau élevé de cybersécurité des produits numériques et de leurs solutions intégrées de traitement de l’information à distance. Ces solutions de traitement de données à distance doivent être définies comme un traitement de données à distance pour lequel un logiciel est conçu et développé par le fabricant du produit numérique lui-même ou sous sa responsabilité, et sans lequel le produit numérique ne pourrait remplir l’une de ses fonctions. Cela permet de garantir que ces produits, dans leur ensemble, sont correctement sécurisés par leurs fabricants, que les données soient traitées ou stockées localement sur l’appareil de l’utilisateur ou à distance par le fabricant. Parallèlement, le traitement ou le stockage à distance n’entre dans le champ d’application du présent règlement que dans la mesure où il est nécessaire pour qu’un produit contenant des éléments numériques puisse remplir ses fonctions. Un tel traitement ou stockage à distance se produit lorsqu’une application mobile nécessite l’accès à une interface de programmation d’application ou à une base de données fournie par un service développé par le fabricant. Dans ce cas, le service relève du champ d’application du présent règlement en tant que solution de traitement de données à distance. Les exigences applicables aux solutions de traitement de données à distance relevant du champ d’application du présent règlement n’incluent donc pas de mesures techniques, opérationnelles ou organisationnelles visant à maîtriser les risques pour la sécurité des réseaux et des systèmes d’information du fabricant dans son ensemble.
(12) Les solutions d’informatique en nuage ne sont considérées comme des solutions de traitement de données à distance aux fins du présent règlement que si elles répondent à la définition donnée dans le présent règlement. Par exemple, les fonctionnalités en nuage proposées par le fabricant d’appareils électroménagers intelligents, qui permettent aux utilisateurs de contrôler l’appareil à distance, relèvent du champ d’application du présent règlement. En revanche, les sites web qui ne prennent pas en charge la fonctionnalité d’un produit contenant des éléments numériques ou les services en nuage conçus et développés en dehors de la responsabilité d’un fabricant de produits contenant des éléments numériques ne relèvent pas du champ d’application du présent règlement. La directive (UE) 2022/2555 s’applique aux services d’informatique en nuage et aux modèles de services en nuage tels que SaaS (Software as a Service), PaaS (Platform as a Service) ou IaaS (Infrastructure as a Service). Les entités qui fournissent des services d’informatique en nuage dans l’Union et qui sont considérées comme des entreprises de taille moyenne conformément à l’article 2 de l’annexe de la recommandation 2003/361/CE ou qui dépassent les seuils fixés pour les entreprises de taille moyenne au paragraphe 1 dudit article relèvent du champ d’application de ladite directive.
(13) Conformément à l’objectif du présent règlement, qui est d’éliminer les obstacles à la libre circulation des produits contenant des éléments numériques, les États membres ne doivent pas, dans les domaines couverts par le présent règlement, entraver la mise à disposition sur le marché de produits contenant des éléments numériques qui sont conformes au présent règlement. Dans les domaines harmonisés par le présent règlement, les États membres ne peuvent donc pas imposer d’exigences de cybersécurité supplémentaires pour la mise à disposition sur le marché de produits contenant des éléments numériques. Toutefois, toute entité publique ou privée peut définir des exigences supplémentaires pour l’acquisition ou l’utilisation de produits contenant des éléments numériques à des fins qui lui sont propres, en plus de celles prévues par le présent règlement, et peut donc choisir d’utiliser des produits contenant des éléments numériques qui satisfont à des exigences de cybersécurité plus strictes ou plus spécifiques que celles qui s’appliquent à leur mise à disposition sur le marché conformément au présent règlement. Sans préjudice des directives 2014/24/UE (7) et 2014/25/UE (8) du Parlement européen et du Conseil, lorsqu’ils se procurent des produits contenant des éléments numériques qui doivent être conformes aux exigences essentielles de cybersécurité établies par le présent règlement, y compris celles relatives à la gestion des risques de sécurité, les États membres devraient veiller à ce que ces exigences soient prises en compte dans le processus d’achat et à ce que soit également considérée la capacité des fabricants à appliquer efficacement des mesures de cybersécurité et à faire face aux cybermenaces. En outre, la directive (UE) 2022/2555 établit des mesures de gestion des risques en matière de cybersécurité pour les entités essentielles et importantes au sens de l’article 3 de ladite directive, qui pourraient comprendre des mesures de sécurité de la chaîne d’approvisionnement exigeant que ces entités utilisent des produits contenant des éléments numériques répondant à des exigences de cybersécurité plus strictes que celles établies par le présent règlement. Conformément à la directive (UE) 2022/2555 et à son principe d’harmonisation minimale, les États membres peuvent donc imposer des exigences supplémentaires en matière de cybersécurité pour l’utilisation de produits des technologies de l’information et de la communication (TIC) par des entités essentielles ou importantes visées par ladite directive, afin de garantir un niveau de cybersécurité plus élevé, pour autant que ces exigences soient conformes aux obligations des États membres prévues par le droit de l’Union. Les aspects non couverts par le présent règlement peuvent également inclure des facteurs non techniques liés aux produits contenant des éléments numériques et à leurs fabricants. Les États membres peuvent donc adopter des mesures nationales, y compris des restrictions applicables aux produits contenant des éléments numériques ou aux fournisseurs de ces produits, qui tiennent compte des facteurs non techniques. Les mesures nationales relatives à ces facteurs doivent être compatibles avec le droit de l’Union.
(14) Le présent règlement ne devrait pas porter atteinte à la responsabilité des États membres en matière de sécurité nationale, conformément au droit de l’Union. Les États membres devraient pouvoir imposer des spécifications supplémentaires aux produits contenant des éléments numériques qui sont acquis ou utilisés à des fins de sécurité nationale ou de défense, à condition que ces spécifications soient conformes aux obligations des États membres prévues par le droit de l’Union.
(15) Le présent règlement ne s’applique aux opérateurs économiques qu’en ce qui concerne les produits contenant des éléments numériques qui sont mis à disposition sur le marché, c’est-à-dire fournis dans le cadre d’une activité commerciale en vue de leur distribution ou de leur utilisation sur le marché de l’Union. Une fourniture dans le cadre d’une activité commerciale peut être caractérisée non seulement par le fait qu’un prix est demandé pour un produit contenant des éléments numériques, mais aussi par le fait qu’une rémunération est demandée pour des services d’assistance technique qui ne servent pas uniquement à couvrir les coûts réels, qu’il existe une intention de réaliser un profit, par exemple en fournissant une plateforme logicielle, par l’intermédiaire de laquelle le fabricant propose d’autres services dans un but lucratif, ou en exigeant comme condition d’utilisation le traitement de données à caractère personnel à des fins autres que la seule amélioration de la sécurité, de la compatibilité ou de l’interopérabilité du logiciel, ou en acceptant des dons dépassant les coûts liés à la conception, au développement et à la fourniture d’un produit contenant des éléments numériques. L’acceptation de dons sans but lucratif ne doit pas être considérée comme une activité commerciale.
(16) Les produits contenant des éléments numériques qui sont fournis dans le cadre de la prestation d’un service pour lequel une redevance est perçue uniquement pour couvrir les coûts réels directement liés au fonctionnement de ce service, comme cela peut être le cas pour certains produits contenant des éléments numériques fournis par des organismes de l’administration publique, ne devraient pas, pour ces seules raisons, être considérés comme faisant partie d’une activité commerciale au sens du présent règlement. En outre, les produits contenant des éléments numériques qui sont développés ou modifiés par un organisme d’administration publique pour ses seuls besoins propres ne devraient pas être considérés comme étant mis à disposition sur le marché aux fins du présent règlement.
(17) Les logiciels et les données qui sont partagés de manière ouverte et auxquels les utilisateurs peuvent accéder, utiliser, modifier et redistribuer librement, y compris sous une forme modifiée, peuvent contribuer à la recherche et à l’innovation sur le marché. Afin d’encourager le développement et l’utilisation de logiciels libres et à code source ouvert, notamment par les microentreprises et les petites et moyennes entreprises, y compris les start-ups, les particuliers, les organisations à but non lucratif et les établissements de recherche universitaires, l’application du présent règlement aux produits contenant des éléments numériques qui sont considérés comme des logiciels libres et à code source ouvert et qui sont mis à disposition en vue de leur distribution ou de leur utilisation dans le cadre d’une activité commerciale devrait tenir compte des types des différents modèles de développement de logiciels distribués et développés dans le cadre de licences de logiciels libres et à code source ouvert.
(18) Par logiciel libre et à code source ouvert, on entend un logiciel dont le code source est partagé de manière ouverte et dont la licence prévoit tous les droits nécessaires pour le rendre librement accessible, utilisable, modifiable et redistribuable. Les logiciels libres et à code source ouvert sont développés, maintenus et distribués de manière ouverte, y compris via des plateformes en ligne. En ce qui concerne les opérateurs économiques relevant du champ d’application du présent règlement, seuls les logiciels libres et à code source ouvert mis à disposition sur le marché et donc disponibles pour être distribués ou utilisés dans le cadre d’une activité commerciale devraient relever du champ d’application du présent règlement. Les simples circonstances dans lesquelles le produit a été développé avec des éléments numériques ou la manière dont le développement a été financé ne devraient donc pas être prises en compte pour déterminer le caractère commercial ou non commercial de l’activité correspondante. En particulier, aux fins du présent règlement et en ce qui concerne les opérateurs économiques relevant de son champ d’application, la fourniture de produits contenant des éléments numériques qui sont classés comme logiciels libres et open source et qui ne sont pas monétisés par leurs fabricants ne devrait pas être considérée comme une activité commerciale, afin de garantir qu’une distinction claire soit établie entre la phase de développement et la phase de fourniture. En outre, la fourniture de produits contenant des éléments numériques classés comme composants logiciels libres et open source et destinés à être intégrés par d’autres fabricants dans leurs propres produits contenant des éléments numériques ne devrait être considérée comme une mise à disposition sur le marché que si le composant est monnayé par son fabricant d’origine. Par exemple, le simple fait qu’un produit logiciel à source ouverte contenant des éléments numériques bénéficie d’un soutien financier de la part de ses fabricants ou que des fabricants contribuent au développement d’un tel produit ne devrait pas, en soi, être déterminant pour établir que l’activité est de nature commerciale. En outre, la simple existence de publications régulières de versions ne devrait pas, en soi, permettre de conclure qu’un produit contenant des éléments numériques est fourni dans le cadre d’une activité commerciale. Enfin, aux fins du présent règlement, le développement, par des organisations à but non lucratif, de produits contenant des éléments numériques classés comme logiciels libres et open source ne devrait pas être considéré comme une activité commerciale, à condition que l’organisation soit conçue de manière à garantir que tous les revenus, après déduction des coûts, soient utilisés pour atteindre des objectifs non lucratifs. Le présent règlement ne s’applique pas aux personnes physiques ou morales qui contribuent, au moyen de codes sources, à des produits contenant des éléments numériques classés comme logiciels libres et à code source ouvert et qui ne relèvent pas de leur responsabilité.
(19) Compte tenu de l’importance pour la cybersécurité de nombreux produits contenant des éléments numériques qui sont considérés comme des logiciels libres et à code source ouvert et qui sont publiés, mais non mis à disposition sur le marché, au sens du présent règlement, les personnes morales qui soutiennent durablement le développement de ces produits destinés à des activités commerciales et qui jouent un rôle important pour garantir leur utilité (gestionnaires de logiciels à code source ouvert) devraient être soumises à un régime réglementaire simplifié et adapté. Les gestionnaires de logiciels à code source ouvert comprennent certaines fondations et les entités qui développent et publient des logiciels libres et à code source ouvert dans un contexte commercial, y compris les organisations à but non lucratif. La réglementation devrait tenir compte de leurs spécificités et de la compatibilité avec la nature des obligations imposées. Seuls les produits contenant des éléments numériques considérés comme des logiciels libres et à code source ouvert et destinés à terme à des activités commerciales, telles que l’intégration dans des services commerciaux ou des produits payants contenant des éléments numériques, devraient être couverts. Aux fins du présent régime réglementaire, l’intégration envisagée dans des produits payants contenant des éléments numériques couvre les cas dans lesquels les fabricants qui intègrent un composant dans leurs propres produits contenant des éléments numériques soit contribuent régulièrement au développement de ce composant, soit apportent un soutien financier régulier afin d’assurer la continuité d’un produit logiciel. Le soutien permanent au développement d’un produit contenant des éléments numériques comprend, entre autres, l’hébergement et la gestion de plateformes de collaboration pour le développement de logiciels, l’hébergement de codes sources ou de logiciels, la gestion ou l’administration de produits contenant des éléments numériques classés comme logiciels libres et open source, ainsi que la gestion du développement de tels produits. Étant donné que le régime réglementaire simplifié et sur mesure ne prévoit pas les mêmes obligations pour les gestionnaires de logiciels à code source ouvert que pour les fabricants dans le cadre du présent règlement, ils ne devraient pas être autorisés à apposer le marquage CE sur les produits contenant des éléments numériques dont ils soutiennent le développement.
(20) La simple mise à disposition de produits contenant des éléments numériques dans des archives ouvertes, y compris par le biais de la gestion de paquets ou de plateformes de collaboration, ne constitue pas en soi la mise à disposition d’un produit contenant des éléments numériques sur le marché. Les fournisseurs de ces services ne devraient être considérés comme des distributeurs que s’ils mettent ces logiciels à disposition sur le marché et les fournissent donc dans le cadre d’une activité commerciale en vue de leur distribution ou de leur utilisation sur le marché de l’Union.
(21) Afin de soutenir et de faciliter le devoir de diligence des fabricants qui intègrent dans leurs produits contenant des éléments numériques des composants logiciels libres et à code source ouvert non soumis aux exigences essentielles de cybersécurité définies dans le présent règlement, la Commission devrait avoir la possibilité de mettre en place des programmes volontaires de certification de la sécurité, soit par un acte délégué complétant le présent règlement, soit en demandant un schéma européen de certification de la cybersécurité, conformément à l’article 48 du règlement (UE) 2019/881, qui tienne compte des spécificités des modèles de développement des logiciels libres et à code source ouvert. Les programmes de certification de la sécurité doivent être conçus de manière à permettre non seulement aux personnes physiques ou morales qui développent ou contribuent à un produit contenant des éléments numériques classés comme logiciels libres et à code source ouvert d’initier ou de financer une certification de la sécurité, mais aussi aux tiers, tels que les fabricants qui intègrent de tels produits contenant des éléments numériques dans leurs propres produits contenant des éléments numériques, ainsi que les utilisateurs ou les administrations publiques de l’Union et des États membres.
(22) Compte tenu des objectifs du présent règlement en matière de cybersécurité publique et afin d’améliorer la prise de conscience par les États membres de la situation de dépendance de l’Union à l’égard des éléments logiciels, et notamment des éléments logiciels potentiellement libres et à code source ouvert, un groupe spécial de coopération administrative (ADCO) institué par le présent règlement devrait pouvoir décider de procéder conjointement à une évaluation de la dépendance de l’Union. Les autorités de surveillance du marché devraient pouvoir demander aux fabricants de produits contenant des éléments numériques qui entrent dans les catégories établies par l’ADCO de fournir les nomenclatures de logiciels qu’ils ont établies conformément au présent règlement. Afin de protéger la confidentialité des nomenclatures de logiciels, les autorités de surveillance du marché devraient transmettre à ADCO les informations pertinentes sur les dépendances sous une forme anonyme et agrégée.
(23) L’efficacité de la mise en œuvre du présent règlement dépendra également de la disponibilité de compétences adéquates dans le domaine de la cybersécurité. Au niveau de l’Union, plusieurs documents programmatiques et politiques, dont la communication de la Commission du 18 avril 2023 intitulée “Combler le déficit de compétences en matière de cybersécurité pour favoriser la compétitivité, la croissance et la résilience de l’UE” et les conclusions du Conseil du 22 mai 2023 sur la politique de cyberdéfense de l’UE, reconnaissent qu’il existe un déficit de compétences en matière de cybersécurité dans l’Union et qu’il convient de s’attaquer en priorité à ce problème, tant dans le secteur public que dans le secteur privé. Afin d’assurer une mise en œuvre efficace du présent règlement, les États membres devraient veiller à ce que des ressources suffisantes soient disponibles pour doter les autorités de surveillance du marché et les organismes d’évaluation de la conformité d’effectifs adéquats afin qu’ils puissent s’acquitter des tâches qui leur incombent en vertu du présent règlement. Dans le cadre de ces mesures, il convient d’améliorer la mobilité de la main-d’œuvre dans le domaine de la cybersécurité et les carrières qui y sont liées. Ces mesures devraient également contribuer à rendre les travailleurs du secteur de la cybersécurité plus résilients et plus inclusifs, y compris en ce qui concerne l’égalité des genres. Les États membres devraient donc prendre des dispositions pour que les fonctions concernées soient exercées par des professionnels correctement formés et possédant les compétences nécessaires en matière de cybersécurité. De même, les fabricants devraient veiller à ce que leur personnel dispose des compétences nécessaires pour s’acquitter des obligations qui leur incombent en vertu du présent règlement. Les États membres et la Commission devraient, conformément à leurs prérogatives et responsabilités et aux tâches spécifiques qui leur sont confiées par le présent règlement, prendre des mesures pour aider les fabricants, en particulier les microentreprises et les petites et moyennes entreprises, y compris les start-ups, y compris dans des domaines tels que le développement des compétences, afin de leur permettre de remplir les obligations qui leur incombent en vertu du présent règlement. Étant donné que les États membres sont tenus, en vertu de la directive (UE) 2022/2555 , de prendre des mesures pour promouvoir et développer la formation à la cybersécurité et les compétences en cybersécurité dans le cadre de leurs stratégies nationales de cybersécurité, les États membres peuvent également envisager, lors de l’adoption de ces stratégies, de répondre aux besoins en compétences en matière de cybersécurité découlant du présent règlement, y compris les besoins de recyclage et de développement des compétences.
(24) Un internet sûr est essentiel au fonctionnement des infrastructures critiques et de la société dans son ensemble. La directive (UE) 2022/2555 vise à assurer un niveau élevé de cybersécurité des services fournis par les entités essentielles et importantes visées à l’article 3 de ladite directive, dont font partie les exploitants d’infrastructures numériques, qui prennent en charge les fonctions essentielles de l’internet ouvert et garantissent l’accès à l’internet et les services internet. Il est donc important que les produits contenant des éléments numériques nécessaires pour permettre aux opérateurs d’infrastructures numériques d’assurer le fonctionnement de l’internet soient conçus de manière sûre et qu’ils soient conformes aux normes établies en matière de sécurité de l’internet. Le présent règlement, qui s’applique à tous les produits matériels et logiciels pouvant être rendus obligatoires, vise également à aider les exploitants d’infrastructures numériques à se conformer aux exigences de la directive (UE) 2022/2555 relatives à la chaîne d’approvisionnement en veillant à ce que les produits contenant des éléments numériques qu’ils utilisent pour fournir leurs services soient conçus de manière sûre et à ce qu’ils reçoivent en temps utile des mises à jour de sécurité pour ces produits.
(25) Le règlement (UE) 2017/745 du Parlement européen et du Conseil (9) contient des dispositions relatives aux dispositifs médicaux et le règlement (UE) 2017/746 du Parlement européen et du Conseil (10) contient des dispositions relatives aux dispositifs médicaux de diagnostic in vitro. Ces règlements visent à gérer les risques liés à la cybersécurité et suivent des approches spécifiques qui sont également à la base du présent règlement. En particulier, les règlements (UE) 2017/745 et (UE) 2017/746 contiennent des exigences essentielles pour les dispositifs médicaux qui fonctionnent au moyen d’un système électronique ou qui sont eux-mêmes des logiciels. Certains logiciels non intégrés et l’approche globale du cycle de vie sont également couverts par ces règlements. En vertu de ces exigences, les fabricants doivent appliquer des principes de gestion des risques lors du développement et de la conception de leurs produits et, pour ce faire, définir des exigences en matière de mesures de sécurité informatique ainsi que des procédures d’évaluation de la conformité correspondantes. En outre, depuis décembre 2019, des lignes directrices spécifiques sur la cybersécurité des dispositifs médicaux fournissent aux fabricants de dispositifs médicaux et de dispositifs médicaux de diagnostic in vitro des orientations sur la manière de se conformer à toutes les exigences essentielles pertinentes de l’annexe I de ces règlements en matière de cybersécurité. Les produits contenant des éléments numériques qui relèvent de l’un de ces règlements ne doivent donc pas être couverts par le présent règlement.
(26) Les produits contenant des éléments numériques conçus ou modifiés exclusivement à des fins de sécurité nationale ou de défense, ou les produits spécialement conçus pour le traitement d’informations classifiées, ne relèvent pas du champ d’application du présent règlement. Les États membres sont invités à assurer, pour ces produits, un niveau de protection identique ou supérieur à celui des produits relevant du champ d’application du présent règlement.
(27) Le règlement (UE) 2019/2144 du Parlement européen et du Conseil (11) établit des exigences pour la réception des véhicules à moteur et des systèmes et composants destinés à ces véhicules et introduit certaines exigences en matière de cybersécurité, y compris en ce qui concerne l’exploitation d’un système certifié de gestion de la cybersécurité, des mises à jour de logiciels qui définissent les politiques et procédures des organisations pour gérer les risques liés à la cybersécurité tout au long du cycle de vie des véhicules, des équipements et des services, conformément aux règlements des Nations unies applicables en matière de spécifications techniques et de cybersécurité, notamment le règlement des Nations unies no 155 – Prescriptions uniformes relatives à l’homologation des véhicules en ce qui concerne la cybersécurité et le système de gestion de la cybersécurité (12), et prévoient des procédures spécifiques d’évaluation de la conformité. Dans le domaine de l’aviation, l’objectif principal du règlement (UE) 2018/1139 du Parlement européen et du Conseil (13) est d’établir et de maintenir un niveau uniforme élevé de sécurité aérienne dans l’Union. Le règlement établit un cadre d’exigences essentielles pour la navigabilité des produits, pièces et équipements aéronautiques, y compris les logiciels, qui comprend des obligations de protection contre les menaces pour la sécurité de l’information. La procédure de certification prévue par le règlement (UE) 2018/1139 garantit le niveau de confiance visé par le présent règlement. Les produits contenant des éléments numériques qui relèvent du règlement (UE) 2019/2144 et les produits certifiés conformément au règlement (UE) 2018/1139 ne devraient donc pas être soumis aux exigences essentielles de cybersécurité et aux procédures d’évaluation de la conformité établies par le présent règlement.
(28) Le présent règlement établit des règles horizontales en matière de cybersécurité qui n’ont pas vocation à s’appliquer spécifiquement à certains secteurs ou à certains produits contenant des éléments numériques. Néanmoins, une législation de l’Union spécifique à un secteur ou à un produit pourrait être introduite, avec des exigences portant sur tout ou partie des risques couverts par les exigences essentielles de cybersécurité établies par le présent règlement. L’application du présent règlement aux produits contenant des éléments numériques qui sont couverts par d’autres dispositions de l’Union comportant des exigences relatives à tout ou partie des risques couverts par les exigences essentielles de cybersécurité énoncées dans le présent règlement peut, dans ces cas, être limitée ou exclue, pour autant que la limitation ou l’exclusion soit compatible avec le cadre juridique général applicable à ces produits et que les dispositions sectorielles permettent d’atteindre au moins le même niveau de protection que celui garanti par le présent règlement. Il convient de déléguer à la Commission le pouvoir d’adopter des actes délégués afin de compléter le présent règlement en ce qui concerne la définition de ces produits et règles. En ce qui concerne la législation existante de l’Union à laquelle ces restrictions ou exclusions devraient s’appliquer, le présent règlement contient des dispositions spécifiques visant à préciser sa relation avec cette législation de l’Union.
(29) Afin de permettre la réparation efficace des produits contenant des éléments numériques mis à disposition sur le marché et de prolonger leur durée de vie, il convient de prévoir une exemption pour les pièces de rechange. Cette exemption doit s’appliquer à la fois aux pièces de rechange utilisées pour la réparation de produits existants mis à disposition avant la date d’application du présent règlement et aux pièces de rechange qui ont déjà fait l’objet d’une procédure d’évaluation de la conformité conformément au présent règlement.
(30) Le règlement délégué (UE) 2022/30 de la Commission (14) dispose que les exigences essentielles visées à l’article 3, paragraphe 3, points d), e) et f), de la directive 2014/53/UE du Parlement européen et du Conseil (15), relatives aux effets néfastes sur le réseau et à l’utilisation abusive des ressources du réseau, aux données à caractère personnel et à la vie privée ainsi qu’à la fraude, s’appliquent à certains équipements hertziens. La décision d’exécution C(2022) 5637 de la Commission du 5 août 2022 relative à un mandat de normalisation adressé au Comité européen de normalisation et au Comité européen de normalisation électrotechnique contient des exigences pour l’élaboration de normes spécifiques précisant la manière dont ces trois exigences essentielles doivent être traitées. Les exigences essentielles de cybersécurité définies dans le présent règlement comprennent tous les éléments des exigences essentielles visées à l’article 3, paragraphe 3, points d), e) et f), de la directive 2014/53/UE. En outre, les exigences essentielles de cybersécurité définies dans le présent règlement sont conformes aux objectifs des exigences relatives aux normes spécifiques prévues dans le présent mandat de normalisation. Par conséquent, si la Commission abroge ou modifie le règlement délégué (UE) 2022/30 de manière à ce qu’il ne s’applique plus à certains produits couverts par le présent règlement, la Commission et les organismes européens de normalisation devraient alors tenir compte des travaux de normalisation réalisés dans le cadre de la décision d’exécution C(2022) 5637 lors de l’élaboration et du développement de normes harmonisées, afin de faciliter la mise en œuvre du présent règlement. Au cours de la période de transition pour l’application du présent règlement, la Commission devrait fournir des orientations aux fabricants soumis au présent règlement ainsi qu’au règlement délégué (UE) 2022/30 afin de faciliter la démonstration de la conformité aux deux règlements.
(31) La directive (UE) 2024/2853 du Parlement européen et du Conseil (16) complète le présent règlement. Cette directive contient des dispositions relatives à la responsabilité du fait des produits défectueux, afin de permettre aux personnes lésées de demander réparation lorsqu’un produit défectueux a causé un dommage. Elle établit le principe selon lequel le producteur d’un produit est responsable, indépendamment de sa faute, des dommages causés par le manque de sécurité de son produit (“responsabilité sans faute”). Si ce défaut de sécurité consiste en l’absence de mise à jour de la sécurité après la mise sur le marché du produit et qu’il en résulte un dommage, la responsabilité du producteur pourrait être engagée. Le présent règlement devrait définir les obligations des fabricants en ce qui concerne la fourniture de ces mises à jour de sécurité.
(32) Le présent règlement devrait s’appliquer sans préjudice du règlement (UE) 2016/679 du Parlement européen et du Conseil (17), qui contient des dispositions relatives à la mise en place de procédures de certification en matière de protection des données et de labels et marques de protection des données visant à démontrer que les responsables du traitement des données et les sous-traitants respectent les dispositions de ce dernier règlement lorsqu’ils traitent des données. De telles opérations pourraient être intégrées dans un produit contenant des éléments numériques. Les principes de protection des données par la conception technique et par des paramètres par défaut respectueux de la vie privée, ainsi que la cybersécurité en général, sont des éléments clés du règlement (UE) 2016/679. En protégeant les consommateurs et les organisations contre les risques liés à la cybersécurité, les exigences essentielles en matière de cybersécurité définies dans le présent règlement devraient également contribuer à améliorer la protection des données à caractère personnel et la protection de la vie privée des personnes physiques. Tant la normalisation que la certification des aspects liés à la cybersécurité devraient tenir compte des synergies dans le cadre de la coopération entre la Commission, les organismes européens de normalisation, l’Agence de l’Union européenne pour la cybersécurité (ENISA), le comité européen de la protection des données institué par le règlement (UE) 2016/679 et les autorités nationales de contrôle de la protection des données. Des synergies entre le présent règlement et la législation de l’Union en matière de protection des données devraient également être recherchées dans le domaine de la surveillance du marché et de l’application de la législation. cet effet, les autorités nationales de surveillance du marché désignées en vertu du présent règlement devraient coopérer avec les autorités chargées de surveiller l’application de la législation de l’Union en matière de protection des données. Ces dernières autorités devraient également avoir accès aux informations utiles à l’accomplissement de leurs tâches.
(33) Dans la mesure où leurs produits relèvent du champ d’application du présent règlement, les fournisseurs de portefeuilles d’identité numérique européens (portefeuilles EUid) devraient, conformément à l’article 5 bis, paragraphe 2, du règlement (UE) no 910/2014 du Parlement européen et du Conseil (18), se conformer à la fois aux exigences de base horizontales en matière de cybersécurité définies dans le présent règlement et aux exigences de sécurité spécifiques visées à l’article 5 bis du règlement (UE) no 910/2014. Afin de faciliter la conformité, les fournisseurs de portefeuilles UEid devraient être en mesure de démontrer la conformité des portefeuilles UEid aux exigences établies par le présent règlement et par le règlement (UE) no 910/2014 en faisant certifier leurs produits dans le cadre d’un système européen de certification de la cybersécurité établi par le règlement (UE) 2019/881, pour lequel la Commission a établi, par voie d’acte délégué, une présomption de conformité aux exigences du présent règlement, dans la mesure où le certificat ou des parties de celui-ci couvrent ces exigences.
(34) Lorsque, au cours de la phase de conception et de développement, les fabricants intègrent des composants obtenus auprès de tiers dans des produits contenant des éléments numériques, ils doivent faire preuve de la diligence requise à l’égard de ces composants, y compris les composants logiciels libres et à code source ouvert qui n’ont pas été mis à disposition sur le marché, afin de garantir que les produits sont conçus, développés et fabriqués conformément aux exigences essentielles de cybersécurité établies par le présent règlement. Le niveau approprié de diligence raisonnable est déterminé par la nature et l’ampleur du risque de cybersécurité associé à un composant donné, en tenant compte d’une ou de plusieurs des mesures suivantes à cette fin : vérifier, le cas échéant, que le fabricant d’un composant a démontré sa conformité au présent règlement, y compris en vérifiant si le composant porte déjà le marquage CE ; vérifier si un composant fait l’objet de mises à jour de sécurité régulières, par exemple en contrôlant les mises à jour de sécurité antérieures ; vérifier qu’un composant est exempt des vulnérabilités enregistrées dans la base de données européenne des vulnérabilités établie conformément à l’article 12, paragraphe 2, de la directive (UE) 2022/2555 ou dans d’autres bases de données de vulnérabilités accessibles au public, ou procéder à des contrôles de sécurité supplémentaires. Les obligations en matière de gestion des vulnérabilités définies dans le présent règlement, auxquelles les fabricants doivent se conformer lors de la mise sur le marché d’un produit numérique et pendant la période d’assistance, s’appliquent aux produits numériques dans leur intégralité, y compris tous les composants intégrés. Si, dans le cadre de son obligation de vigilance, le fabricant du produit contenant des éléments numériques détecte une vulnérabilité dans un composant, y compris dans un composant libre et open source, il doit en informer la personne ou l’entité qui a fabriqué ou qui assure la maintenance du composant, remédier à la vulnérabilité et, le cas échéant, mettre à la disposition de la personne ou de l’entité le correctif de sécurité utilisé.
(35) Immédiatement après la période de transition pour l’application du présent règlement, un fabricant d’un produit numérique contenant un ou plusieurs composants achetés auprès de tiers également soumis au présent règlement peut ne pas être en mesure de vérifier, dans le cadre de son obligation de diligence, que les fabricants de ces composants ont démontré la conformité au présent règlement, par exemple en vérifiant si les composants portent déjà le marquage CE. Cela peut être le cas si les composants ont été intégrés avant que le présent règlement ne s’applique aux fabricants de ces composants. Dans ce cas, un fabricant qui intègre de tels composants doit exercer son devoir de diligence d’une autre manière.
(36) Les produits contenant des éléments numériques devraient en principe porter le marquage CE, qui indique de manière visible, lisible et indélébile leur conformité au présent règlement, de sorte qu’ils puissent circuler librement dans le marché intérieur. Les États membres ne devraient pas créer d’obstacles injustifiés à la mise sur le marché de produits contenant des éléments numériques qui sont conformes aux exigences fixées par le présent règlement et qui portent le marquage CE. En outre, les États membres ne devraient pas empêcher la présentation ou l’utilisation d’un produit contenant des éléments numériques qui n’est pas conforme au présent règlement lors de foires commerciales, d’expositions, de démonstrations ou d’événements similaires, y compris les prototypes, à condition que le produit porte un marquage visible indiquant clairement que le produit n’est pas conforme au présent règlement et qu’il ne peut être mis à disposition sur le marché que lorsqu’il l’est.
(37) Afin de permettre aux fabricants de libérer des logiciels à des fins de test avant de soumettre leurs produits intégrant des éléments numériques à une évaluation de conformité, les États membres ne devraient pas empêcher la mise à disposition de logiciels non finalisés, par exemple en tant que version alpha, bêta ou préliminaire, à condition que les logiciels non finalisés ne soient mis à disposition que pendant la durée nécessaire aux tests et à la collecte des informations en retour. Les fabricants devraient veiller à ce que les logiciels mis à disposition dans ces conditions ne soient libérés qu’après une évaluation des risques et répondent, dans la mesure du possible, aux exigences de sécurité du présent règlement en ce qui concerne les caractéristiques des produits contenant des éléments numériques. Les fabricants devraient également mettre en œuvre, dans la mesure du possible, les exigences relatives au traitement des vulnérabilités. Les fabricants ne devraient pas obliger les utilisateurs à mettre à jour des versions qui n’ont été validées qu’à des fins de test.
(38) Afin d’éviter que les produits contenant des éléments numériques ne présentent des risques de cybersécurité pour les personnes et les organisations lors de leur mise sur le marché, il convient de définir des exigences essentielles de cybersécurité pour ces produits. Ces exigences essentielles de cybersécurité, y compris les exigences en matière de gestion des vulnérabilités, s’appliquent à chaque produit contenant des éléments numériques lorsqu’il est mis sur le marché, que le produit contenant des éléments numériques soit fabriqué à l’unité ou en série. Par exemple, pour un type de produit, chaque produit numérique individuel doit avoir reçu tous les correctifs de sécurité ou mises à jour disponibles pour résoudre les problèmes de sécurité pertinents lorsqu’il est mis sur le marché. Si ces produits contenant des éléments numériques sont modifiés ultérieurement, physiquement ou numériquement, d’une manière non prévue par le fabricant dans l’évaluation initiale des risques et qui pourrait les rendre non conformes aux exigences essentielles de cybersécurité applicables, la modification devrait être considérée comme substantielle. Par exemple, les réparations pourraient être assimilées à des opérations de maintenance, à condition qu’elles ne modifient pas un produit déjà mis sur le marché et contenant des éléments numériques d’une manière susceptible de compromettre la conformité aux exigences applicables ou de modifier l’utilisation prévue pour laquelle le produit a été testé.
(39) Comme pour les réparations ou les modifications physiques, un produit contenant des éléments numériques doit être considéré comme ayant été modifié de manière substantielle par une modification logicielle si la mise à jour du logiciel change la destination du produit et que ces changements n’ont pas été prévus par le fabricant dans l’évaluation initiale des risques, ou si la nature du risque a changé ou si le risque de cybersécurité a augmenté en raison de la mise à jour du logiciel et que la version actualisée du produit est mise à disposition sur le marché. Si une mise à jour de sécurité visant à réduire le risque de cybersécurité d’un produit contenant des éléments numériques ne modifie pas la destination d’un produit contenant des éléments numériques, elle n’est pas considérée comme une modification substantielle. Cela inclut généralement les cas où une mise à jour de sécurité n’entraîne que des adaptations mineures du code source. Cela pourrait être le cas, par exemple, lorsqu’une mise à jour de sécurité corrige une vulnérabilité connue, y compris en modifiant les fonctionnalités ou les performances d’un produit numérique dans le seul but de réduire le risque de cybersécurité. De même, une mise à jour mineure des fonctionnalités, telle qu’une amélioration visuelle ou l’ajout de nouvelles langues ou de nouveaux pictogrammes à l’interface utilisateur, ne devrait généralement pas être considérée comme une modification substantielle. l’inverse, une mise à jour des fonctionnalités qui modifie les fonctionnalités initialement prévues ou la nature ou les performances d’un produit contenant des éléments numériques et qui répond aux critères susmentionnés devrait être considérée comme une modification substantielle, car l’ajout de nouvelles fonctionnalités entraîne généralement une augmentation de la surface d’attaque et donc du risque de cybersécurité. Cela pourrait être le cas, par exemple, lorsqu’un nouvel élément d’entrée est ajouté à une application, de sorte que le fabricant doit veiller à une validation adéquate de l’entrée. Pour déterminer si une mise à jour fonctionnelle doit être considérée comme une modification substantielle, il importe peu qu’elle soit fournie en tant que mise à jour séparée ou en combinaison avec une mise à jour de sécurité. La Commission devrait publier des orientations sur la manière de déterminer ce qui constitue une modification substantielle.
(40) Compte tenu de la nature répétitive du développement de logiciels, les fabricants qui ont mis sur le marché de nouvelles versions d’un produit logiciel en raison d’une modification substantielle ultérieure du produit devraient être autorisés à proposer des mises à jour de sécurité pendant la période d’assistance uniquement pour la version du produit logiciel qu’ils ont mise sur le marché en dernier lieu. Ils ne devraient être autorisés à le faire que si les utilisateurs des versions antérieures pertinentes du produit ont accès à la dernière version du produit mise sur le marché et s’ils n’ont pas à supporter de coûts supplémentaires pour adapter l’environnement matériel ou logiciel dans lequel ils exploitent le produit. Cela pourrait être le cas, par exemple, si la mise à niveau du système d’exploitation de l’ordinateur de bureau ne nécessite pas de nouveau matériel, par exemple une unité centrale plus rapide ou davantage de mémoire. Néanmoins, pendant la période d’assistance, le fabricant devrait continuer à respecter d’autres exigences en matière de gestion des vulnérabilités, telles qu’une politique de divulgation coordonnée des vulnérabilités ou des dispositions visant à faciliter l’échange d’informations sur les vulnérabilités potentielles pour toutes les versions ultérieures du produit logiciel commercialisé qui ont été modifiées de manière substantielle. Les fabricants devraient avoir la possibilité de ne fournir des mises à jour mineures de sécurité ou de fonctionnalités qui ne constituent pas une modification substantielle que pour la dernière version ou sous-version d’un produit logiciel qui n’a pas été modifié de manière substantielle. Parallèlement, lorsqu’un produit matériel tel qu’un smartphone n’est pas compatible avec la dernière version du système d’exploitation avec lequel il a été fourni à l’origine, le fabricant devrait continuer à fournir des mises à jour de sécurité pendant la période de support, au moins pour la dernière version compatible du système d’exploitation.
(41) Conformément au concept généralement admis de modification substantielle des produits couverts par la législation d’harmonisation de l’Union, il convient, en cas de modification substantielle susceptible d’affecter la conformité d’un produit numérique au présent règlement ou de changement de la destination de ce produit, de réexaminer la conformité du produit numérique et, le cas échéant, de le soumettre à une nouvelle évaluation de conformité. Lorsque le fabricant procède à une évaluation de la conformité avec la participation d’un tiers, tout changement susceptible d’entraîner une modification substantielle doit être notifié au tiers.
(42) Lorsqu’un produit intégrant des éléments numériques fait l’objet d’une “révision”, d’un “entretien” et d’une “réparation” au sens de l’article 2, points 18, 19 et 20, du règlement (UE) 2024/1781 du Parlement européen et du Conseil (19), cela n’entraîne pas nécessairement une modification substantielle du produit si, par exemple, sa destination et ses fonctions ne sont pas modifiées et si le niveau de risque reste le même. Toutefois, l’ajout d’éléments numériques à un produit par le fabricant pourrait entraîner des modifications dans la conception et le développement du produit et donc avoir une incidence sur sa destination et sa conformité aux exigences fixées par le présent règlement.
(43) Les produits contenant des éléments numériques doivent être considérés comme importants lorsque les effets négatifs de l’exploitation de failles potentielles dans la cybersécurité du produit peuvent être graves, notamment en raison de sa fonction de cybersécurité ou d’une fonction qui présente un risque important d’effets négatifs en termes de portée et de possibilité, de perturber, contrôler ou endommager un grand nombre d’autres produits contenant des éléments numériques ou de porter atteinte à la santé, à la sécurité ou à l’intégrité de leurs utilisateurs en les manipulant directement, comme une fonction centrale du système, y compris la gestion du réseau, le contrôle de la configuration, la virtualisation ou le traitement de données à caractère personnel. En particulier, les vulnérabilités des produits contenant des éléments numériques ayant une fonction de cybersécurité, tels que les gestionnaires de démarrage, peuvent entraîner une propagation des problèmes de sécurité dans l’ensemble de la chaîne d’approvisionnement. La gravité de l’impact d’un incident de sécurité peut également augmenter si le produit exerce principalement une fonction centrale du système, y compris la gestion du réseau, le contrôle de la configuration, la virtualisation ou le traitement de données à caractère personnel.
(44) Certaines catégories de produits contenant des éléments numériques devraient être soumises à des procédures d’évaluation de la conformité plus strictes, tout en respectant le principe de proportionnalité. cette fin, les produits importants contenant des éléments numériques devraient être divisés en deux classes, reflétant le risque de cybersécurité associé à ces catégories de produits. Un incident de sécurité impliquant des produits essentiels contenant des éléments numériques relevant de la classe II pourrait avoir des conséquences négatives plus importantes qu’un incident de sécurité impliquant des produits essentiels contenant des éléments numériques relevant de la classe I, par exemple en raison de la nature de leur fonction de cybersécurité ou de l’exercice d’une autre fonction qui comporte un risque important d’effets négatifs. Une indication d’effets négatifs majeurs pourrait être que les produits contenant des éléments numériques qui relèvent de la classe II remplissent soit une fonction de cybersécurité, soit une autre fonction impliquant un risque plus élevé d’effets négatifs que les produits de la classe I, soit les deux critères susmentionnés. Les produits importants contenant des éléments numériques qui relèvent de la classe II devraient donc être soumis à une procédure d’évaluation de la conformité plus stricte.
(45) Les produits importants contenant des éléments numériques auxquels il est fait référence dans le présent règlement doivent être entendus comme des produits qui remplissent la fonction essentielle d’une catégorie de produits importants contenant des éléments numériques définie dans le présent règlement. Par exemple, le présent règlement établit des catégories de produits importants contenant des éléments numériques qui sont définis par leur fonction principale comme des pare-feu ou des systèmes de détection d’intrusion ou de prévention d’intrusion de classe II. Par conséquent, les pare-feu et les systèmes de détection d’intrusion et de prévention d’intrusion sont soumis à une évaluation de conformité obligatoire par un tiers. Cela ne s’applique pas aux autres produits contenant des éléments numériques qui ne sont pas classés comme produits importants contenant des éléments numériques et qui peuvent contenir des pare-feu ou des systèmes de détection d’intrusion ou des systèmes de prévention d’intrusion. La Commission devrait adopter un acte d’exécution afin de préciser la description technique des catégories de produits importants contenant des éléments numériques qui relèvent des classes I et II conformément au présent règlement.
(46) Les catégories de produits critiques contenant des éléments numériques définies dans le présent règlement sont associées à une fonction de cybersécurité et sont utilisées pour une fonction qui présente un risque important d’effets négatifs, compte tenu de sa portée et de sa capacité à perturber, contrôler ou endommager un grand nombre d’autres produits contenant des éléments numériques en les manipulant directement. En outre, ces catégories de produits contenant des éléments numériques sont considérées comme des dépendances critiques pour les équipements essentiels visés à l’article 3, paragraphe 1, de la directive (UE) 2022/2555. Les catégories de produits critiques contenant des éléments numériques, qui sont énumérées dans une annexe du présent règlement en raison de leur criticité, utilisent déjà souvent différentes formes de certification et sont également couvertes par le système européen de certification de la cybersécurité (EUCC) fondé sur des critères communs, établi par le règlement d’exécution (UE) 2024/482(20) . Afin d’assurer une protection adéquate commune de la cybersécurité des produits critiques contenant des éléments numériques dans l’Union, il pourrait donc être approprié et proportionné de soumettre ces catégories de produits à une certification européenne obligatoire en matière de cybersécurité au moyen d’un acte délégué, lorsqu’un système européen pertinent de certification en matière de cybersécurité existe déjà pour ces produits et que la Commission a procédé à une évaluation de l’incidence potentielle sur le marché de la certification obligatoire envisagée. Cette évaluation devrait tenir compte à la fois de l’offre et de la demande, y compris de la question de savoir s’il existe une demande suffisante pour les produits intégrant des éléments numériques concernés, tant de la part des États membres que des utilisateurs, pour qu’une certification européenne en matière de cybersécurité soit nécessaire, et des fins auxquelles les produits intégrant des éléments numériques sont destinés à être utilisés, y compris les dépendances critiques à leur égard de la part des entités essentielles visées à l’article 3, paragraphe 1, de la directive (UE) 2022/2555. L’évaluation devrait également analyser l’impact potentiel de la certification obligatoire sur la disponibilité de ces produits sur le marché intérieur, ainsi que les capacités et la volonté des États membres de mettre en œuvre les systèmes européens de certification de la cybersécurité pertinents.
(47) Les actes délégués imposant une certification européenne obligatoire en matière de cybersécurité devraient déterminer les produits contenant des éléments numériques qui présentent les fonctions essentielles d’une catégorie de produits critiques contenant des éléments numériques définis dans le présent règlement et devant être soumis à une certification obligatoire, ainsi que le niveau de confiance requis, qui devrait être au moins “moyen”. Le niveau de confiance requis doit être proportionnel au niveau de risque de cybersécurité associé au produit contenant des éléments numériques. Par exemple, si le produit contenant des éléments numériques présente la fonction essentielle d’une catégorie de produits critiques contenant des éléments numériques définie dans le présent règlement et est destiné à être utilisé dans un environnement sensible ou critique, comme les produits destinés à être utilisés par les installations essentielles visées à l’article 3, paragraphe 1, de la directive (UE) 2022/2555, le niveau de confiance le plus élevé peut être requis.
(48) Afin d’assurer une protection commune et adéquate de la cybersécurité des produits contenant des éléments numériques dans l’Union, qui présentent la fonction essentielle d’une catégorie de produits critiques contenant des éléments numériques définie dans le présent règlement, il convient également de déléguer à la Commission le pouvoir d’adopter des actes délégués modifiant le présent règlement, en ajoutant ou en supprimant des catégories de produits critiques contenant des éléments numériques pour lesquelles les fabricants pourraient être tenus d’obtenir un certificat européen de cybersécurité dans le cadre d’un schéma européen de certification de la cybersécurité, conformément au règlement (UE) 2019/881, afin de démontrer leur conformité au présent règlement. Une nouvelle catégorie de produits critiques contenant des éléments numériques peut être ajoutée à ces catégories s’il existe une dépendance critique des installations essentielles visées à l’article 3, paragraphe 1, de la directive (UE) 2022/2555 à l’égard de ces produits ou s’ils sont touchés par des incidents de sécurité ou contiennent des vulnérabilités exploitées, ce qui pourrait entraîner des perturbations des chaînes d’approvisionnement critiques. Lorsqu’elle évalue la nécessité d’ajouter ou de supprimer des catégories de produits critiques contenant des éléments numériques au moyen d’un acte délégué, la Commission devrait pouvoir tenir compte du fait que les États membres ont recensé, au niveau national, les produits contenant des éléments numériques qui sont essentiels pour la résilience des installations essentielles au sens de l’article 3, paragraphe 1, de la directive (UE) 2022/2555 et qui sont de plus en plus exposés à des cyberattaques dans la chaîne d’approvisionnement, ce qui pourrait entraîner de graves perturbations. En outre, la Commission devrait pouvoir tenir compte du résultat des évaluations coordonnées des risques en matière de sûreté de la chaîne d’approvisionnement critique au niveau de l’Union, réalisées conformément à l’article 22 de la directive (UE) 2022/2555.
(49) La Commission devrait veiller à ce qu’un large éventail de parties prenantes concernées soit consulté de manière structurée et régulière lors de l’élaboration des mesures d’application du présent règlement. Cela devrait notamment être le cas lorsque la Commission examine l’éventuelle nécessité d’actualiser les listes des catégories de produits importants ou critiques contenant des éléments numériques, en consultant les fabricants concernés et en tenant compte de leur point de vue, afin d’analyser les risques en matière de cybersécurité et le rapport coût-efficacité liés au classement de ces catégories de produits comme importants ou critiques.
(50) Ce règlement permet de s’attaquer aux risques de cybersécurité de manière ciblée. Toutefois, les produits contenant des éléments numériques peuvent présenter d’autres risques pour la sécurité, qui ne sont pas toujours liés à la cybersécurité, mais qui peuvent résulter d’une atteinte à la sécurité. Ces risques devraient continuer à être régis par une législation d’harmonisation de l’Union pertinente autre que le présent règlement. Si aucune législation d’harmonisation de l’Union autre que le présent règlement n’est applicable, ils devraient être soumis au règlement (UE) 2023/988 du Parlement européen et du Conseil (21). Par conséquent, compte tenu du ciblage du présent règlement, par dérogation à l’article 2, paragraphe 1, troisième alinéa, point b), du règlement (UE) 2023/988 en ce qui concerne les risques pour la sécurité non couverts par le présent règlement, le chapitre III, section 1, les chapitres V et VII et les chapitres IX à XI du règlement (UE) 2023/988 devraient également s’appliquer aux produits contenant des éléments numériques si ces produits ne sont pas soumis à des exigences spécifiques de la législation d’harmonisation de l’Union autre que le présent règlement, au sens de l’article 3, point 27, du règlement (UE) 2023/988.
(51) Les produits contenant des éléments numériques qui sont considérés comme des systèmes d’intelligence artificielle à haut risque conformément à l’article 6 du règlement (UE) 2024/1689 du Parlement européen et du Conseil (22) et qui relèvent du champ d’application du présent règlement doivent satisfaire aux exigences essentielles de cybersécurité établies dans le présent règlement. Lorsque ces systèmes d’IA à haut risque satisfont aux exigences essentielles de cybersécurité énoncées dans le présent règlement, ils sont réputés satisfaire aux exigences de cybersécurité visées à l’article 15 du règlement (UE) 2024/1689, dans la mesure où ces exigences sont couvertes par la déclaration UE de conformité ou des parties de celle-ci, délivrée en vertu du présent règlement. cette fin, l’évaluation des risques de cybersécurité associés à un produit contenant des éléments numériques, classé comme système d’intelligence artificielle à haut risque conformément au règlement (UE) 2024/1689, qui doit être prise en compte pendant les phases de planification, de conception, de développement, de production, de livraison et d’entretien d’un tel produit, comme le prévoit le présent règlement, les risques pour la cyber-résilience d’un système d’IA sont pris en compte en ce qui concerne les tentatives de tiers non autorisés de modifier l’utilisation, le comportement ou les performances du système, y compris les vulnérabilités spécifiques à l’IA telles que l’empoisonnement de données ou les attaques adverses, et, le cas échéant, les risques pour les droits fondamentaux, conformément au règlement (UE) 2024/1689. En ce qui concerne les procédures d’évaluation de la conformité aux exigences essentielles de cybersécurité applicables à un produit contenant des éléments numériques relevant du champ d’application du présent règlement et classé comme système d’IA à haut risque, l’article 43 du règlement (UE) 2024/1689 devrait en principe s’appliquer au lieu des dispositions pertinentes du présent règlement. Toutefois, cette règle ne devrait pas avoir pour effet de réduire le niveau de confiance requis pour les produits importants ou critiques contenant des éléments numériques visés dans le présent règlement. Par conséquent, par dérogation à cette règle, les systèmes d’IA à haut risque qui relèvent du champ d’application du règlement (UE) 2024/1689 et qui sont également des produits importants ou critiques contenant des éléments numériques, tels que visés dans le présent règlement, et auxquels la procédure d’évaluation de la conformité est appliquée sur la base d’un contrôle interne conformément à l’annexe VI du règlement (UE) 2024/1689, devraient être soumis aux procédures d’évaluation de la conformité prévues par le présent règlement dans la mesure où les exigences essentielles de cybersécurité définies dans le présent règlement sont concernées. Dans ce cas, pour tous les autres aspects couverts par le règlement (UE) 2024/1689, les dispositions pertinentes relatives à l’évaluation de la conformité sur la base d’un contrôle interne conformément à l’annexe VI dudit règlement doivent s’appliquer.
(52) Afin de renforcer la sécurité des produits contenant des éléments numériques qui sont mis sur le marché intérieur, il est nécessaire de définir des exigences essentielles de cybersécurité applicables à ces produits. Ces exigences essentielles de cybersécurité doivent être sans préjudice des évaluations coordonnées des risques en matière de sûreté de la chaîne d’approvisionnement critique au niveau de l’Union, prévues à l’article 22 de la directive (UE) 2022/2555, qui tiennent compte des facteurs de risque techniques et, le cas échéant, non techniques, tels que l’influence indue d’un pays tiers sur les fournisseurs. En outre, elles ne devraient pas porter atteinte aux prérogatives des États membres de fixer des exigences supplémentaires tenant compte des facteurs non techniques afin d’assurer un niveau élevé de résilience, y compris celles définies dans la recommandation (UE) 2019/534 de la Commission (23), dans l’évaluation des risques coordonnée à l’échelle de l’Union concernant la cybersécurité des réseaux 5G et dans les outils de l’Union en matière de cybersécurité 5G adoptés par le groupe de coopération SRI établi conformément à l’article 14 de la directive (UE) 2022/2555.
(53) Les fabricants de produits relevant du champ d’application du règlement (UE) 2023/1230 du Parlement européen et du Conseil (24), dont les produits sont également des produits contenant des éléments numériques au sens du présent règlement, devraient satisfaire à la fois aux exigences essentielles de cybersécurité du présent règlement et aux exigences essentielles de santé et de sécurité du règlement (UE) 2023/1230. Les exigences essentielles de cybersécurité établies par le présent règlement et certaines exigences essentielles du règlement (UE) 2023/1230 peuvent concerner des risques de cybersécurité similaires. Par conséquent, la conformité aux exigences essentielles de cybersécurité définies dans le présent règlement pourrait faciliter la conformité aux exigences essentielles qui couvrent également certains risques de cybersécurité définis dans le règlement (UE) 2023/1230, en particulier les exigences relatives à la protection contre la corruption et à la sécurité et la fiabilité des systèmes de commande visées à l’annexe III, points 1.1.9 et 1.2.1, dudit règlement. De telles synergies doivent être démontrées par le fabricant, par exemple par l’application de normes harmonisées ou d’autres spécifications techniques couvrant les exigences essentielles de cybersécurité pertinentes, après avoir effectué une évaluation des risques pour les risques de cybersécurité correspondants. Le fabricant doit également suivre les procédures d’évaluation de la conformité applicables conformément au présent règlement et au règlement (UE) 2023/1230. La Commission et les organismes européens de normalisation devraient promouvoir la cohérence dans les travaux préparatoires à l’appui de la mise en œuvre du présent règlement et du règlement (UE) 2023/1230 et des procédures de normalisation connexes, en ce qui concerne l’évaluation des risques liés à la cybersécurité et la manière dont ces risques doivent être couverts par des normes harmonisées au regard des exigences essentielles pertinentes. En particulier, la Commission et les organismes européens de normalisation devraient tenir compte du présent règlement lors de l’élaboration et du développement de normes harmonisées afin de faciliter la mise en œuvre du règlement (UE) 2023/1230, notamment en ce qui concerne les aspects de cybersécurité liés à la protection contre la corruption ainsi qu’à la sécurité et à la fiabilité des systèmes de commande visés aux points 1.1.9 et 1.2.1 de l’annexe III dudit règlement. La Commission devrait fournir des orientations pour aider les fabricants soumis au présent règlement ainsi qu’au règlement (UE) 2023/1230, notamment pour faciliter la démonstration de la conformité aux exigences essentielles pertinentes du présent règlement et du règlement (UE) 2023/1230.
(54) Afin de garantir la sécurité des produits numériques, tant au moment de leur mise sur le marché que pendant la durée de vie prévue du produit numérique, il est nécessaire de définir des exigences essentielles de cybersécurité pour la gestion des vulnérabilités et des exigences essentielles de cybersécurité pour les caractéristiques des produits numériques. Les fabricants doivent à la fois respecter toutes les exigences essentielles de cybersécurité relatives à la gestion des vulnérabilités pendant toute la période d’assistance et déterminer quelles autres exigences essentielles de cybersécurité relatives aux caractéristiques du produit sont pertinentes pour le type de produit numérique concerné. cette fin, les fabricants devraient procéder à une évaluation des risques de cybersécurité associés à un produit numérique afin d’identifier les risques pertinents et les exigences essentielles de cybersécurité, de manière à fournir leurs produits numériques sans vulnérabilités exploitables connues susceptibles d’avoir une incidence sur la sécurité de ces produits, et à appliquer de manière appropriée les normes harmonisées, les spécifications communes ou les normes européennes ou internationales appropriées.
(55) Si certaines exigences essentielles de cybersécurité ne s’appliquent pas à un produit contenant des éléments numériques, le fabricant devrait le justifier clairement dans l’évaluation des risques en matière de cybersécurité jointe à la documentation technique. Cela pourrait être le cas si une exigence essentielle de cybersécurité est incompatible avec la nature d’un produit contenant des éléments numériques. Par exemple, la finalité d’un produit contenant des éléments numériques peut exiger que le fabricant se conforme à des normes d’interopérabilité largement reconnues, même si ses caractéristiques de sécurité ne correspondent plus à l’état de l’art. D’autres textes législatifs de l’Union exigent également que les fabricants se conforment à des exigences d’interopérabilité spécifiques. Si une exigence essentielle de cybersécurité ne s’applique pas à un produit contenant des éléments numériques, mais que le fabricant a identifié des risques de cybersécurité liés à cette exigence essentielle de cybersécurité, il doit prendre des mesures pour faire face à ces risques par d’autres moyens, par exemple en limitant l’utilisation prévue du produit à des environnements de confiance ou en informant les utilisateurs de ces risques.
(56) L’une des principales mesures que les utilisateurs doivent prendre pour protéger leurs produits numériques contre les cyberattaques est d’installer le plus rapidement possible les dernières mises à jour de sécurité disponibles. Les fabricants devraient donc concevoir leurs produits et mettre en place des procédures pour que les produits numériques intègrent des fonctions automatiques de notification, de distribution, de téléchargement et d’installation des mises à jour de sécurité, en particulier dans le cas des produits grand public. Ils devraient également offrir la possibilité d’approuver, en tant qu’étape finale, le téléchargement et l’installation des mises à jour de sécurité. Les utilisateurs devraient continuer à avoir la possibilité de désactiver les mises à jour automatiques, au moyen d’une procédure claire et facile à utiliser, complétée par des explications claires sur la manière dont les utilisateurs peuvent renoncer aux mises à jour. Les exigences relatives aux mises à jour automatiques énoncées dans une annexe du présent règlement ne s’appliquent pas aux produits contenant des éléments numériques qui sont principalement destinés à être intégrés en tant que composants dans d’autres produits. Elles ne s’appliquent pas non plus aux produits contenant des éléments numériques pour lesquels les utilisateurs ne s’attendraient normalement pas à des mises à jour automatiques, y compris les produits contenant des éléments numériques destinés à être utilisés dans des réseaux TIC professionnels et, en particulier, dans des environnements critiques et industriels dans lesquels une mise à jour automatique pourrait entraîner des perturbations du fonctionnement. Qu’un produit numérique soit conçu pour recevoir des mises à jour automatiques ou non, son fabricant devrait informer les utilisateurs des vulnérabilités et fournir des mises à jour de sécurité sans délai. Lorsqu’un produit numérique dispose d’une interface utilisateur ou de moyens techniques similaires permettant une interaction directe avec ses utilisateurs, le fabricant devrait utiliser ces fonctions pour informer les utilisateurs que leur produit numérique a atteint la fin de la période d’assistance. Ces messages devraient être limités à ce qui est nécessaire pour assurer la réception effective de ces informations et ne devraient pas avoir d’incidence négative sur l’expérience de l’utilisateur du produit numérique.
(57) Afin de rendre les procédures de gestion des vulnérabilités plus transparentes et de garantir que les utilisateurs ne sont pas obligés d’installer de nouvelles mises à jour de fonctionnalités uniquement pour obtenir les dernières mises à jour de sécurité, les fabricants devraient veiller à ce que les nouvelles mises à jour de sécurité soient fournies séparément des mises à jour de fonctionnalités, lorsque cela est techniquement possible.
(58) La communication conjointe de la Commission et du haut représentant de l’Union pour les affaires étrangères et la politique de sécurité du 20 juin 2023 sur une “stratégie européenne de sécurité économique” indique que l’Union doit maximiser les avantages de son ouverture économique tout en réduisant au minimum les risques liés aux dépendances économiques vis-à-vis de fournisseurs à haut risque, grâce à un cadre stratégique commun pour la sécurité économique de l’Union. La dépendance à l’égard de fournisseurs de produits contenant des éléments numériques à haut risque peut constituer un risque stratégique qui doit être abordé au niveau de l’Union, en particulier lorsque les produits contenant des éléments numériques sont destinés à être utilisés par les entités essentielles visées à l’article 3, paragraphe 1, de la directive (UE) 2022/2555. Ces risques peuvent être liés, entre autres, à la juridiction applicable au fabricant, aux caractéristiques de sa propriété d’entreprise et aux relations déterminées par le contrôle avec le gouvernement d’un pays tiers dans lequel il est établi, notamment si le pays tiers se livre à de l’espionnage économique ou adopte un comportement gouvernemental irresponsable dans le cyberespace et si ses lois permettent un accès arbitraire à des transactions commerciales ou à des données d’entreprise de toute nature, y compris des données commercialement sensibles, et peut imposer des obligations de renseignement en l’absence de garanties démocratiques, de mécanismes de contrôle, de procédures adéquates ou de droit de recours à un tribunal indépendant. Lors de la détermination de l’importance d’un risque de cybersécurité aux fins du présent règlement, la Commission et les autorités de surveillance du marché devraient également tenir compte, dans le cadre de leurs responsabilités définies dans le présent règlement, des facteurs de risque non techniques, notamment ceux qui ont été identifiés à la suite d’évaluations coordonnées des risques liés à la sécurité de la chaîne d’approvisionnement au niveau de l’Union, réalisées conformément à l’article 22 de la directive (UE) 2022/2555.
(59) Afin de garantir la sécurité des produits numériques après leur mise sur le marché, les fabricants devraient définir la période de soutien, qui devrait tenir compte de la durée d’utilisation prévue du produit numérique. Lorsqu’il fixe une période de soutien, le fabricant doit notamment tenir compte des attentes légitimes des utilisateurs, de la nature du produit et de la législation pertinente de l’Union fixant la durée de vie des produits numériques. Les fabricants devraient également pouvoir prendre en considération d’autres facteurs pertinents. Les critères devraient être appliqués de manière à assurer la proportionnalité lors de la fixation des périodes de soutien. Sur demande, un fabricant devrait mettre à la disposition des autorités de surveillance du marché les informations prises en compte pour déterminer la période de soutien d’un produit contenant des éléments numériques.
(60) La période d’assistance pour laquelle le fabricant garantit le traitement efficace des vulnérabilités doit être d’au moins cinq ans, sauf si la durée de vie du produit contenant des éléments numériques est inférieure à cinq ans, auquel cas le fabricant doit garantir le traitement des vulnérabilités pour la durée de vie correspondante. Si l’on peut raisonnablement s’attendre à ce que le produit contenant des éléments numériques soit utilisé pendant plus de cinq ans, comme c’est souvent le cas pour les composants matériels tels que les cartes mères ou les microprocesseurs, pour les équipements de réseau tels que les routeurs, les modems ou les commutateurs, et pour les logiciels tels que les systèmes d’exploitation ou les outils d’édition vidéo, les fabricants devraient assurer des périodes de support plus longues en conséquence. En particulier, les produits contenant des éléments numériques destinés à être utilisés dans des environnements industriels, tels que les systèmes de contrôle industriels, sont souvent utilisés pendant des périodes beaucoup plus longues. Un fabricant ne doit pouvoir fixer une période d’assistance inférieure à cinq ans que si cela est justifié par la nature du produit numérique concerné et s’il est prévu que le produit sera utilisé moins de cinq ans, auquel cas la période d’assistance doit correspondre à la durée d’utilisation prévue. Par exemple, la durée de vie d’une application de suivi des contacts destinée à être utilisée pendant une pandémie pourrait être limitée à la durée de la pandémie. En outre, de par leur nature, certaines applications logicielles ne peuvent être mises à disposition que sur la base d’un abonnement, notamment si l’application n’est plus disponible pour l’utilisateur à l’expiration de l’abonnement et n’est donc plus utilisée.
(61) Lorsque les produits numériques arrivent au terme de la période d’assistance, les fabricants devraient envisager de divulguer le code source de ces produits numériques, soit à d’autres entreprises qui s’engagent à prolonger la fourniture de services de gestion des vulnérabilités, soit au public, afin que les vulnérabilités puissent continuer à être gérées après l’expiration de la période d’assistance. Si les fabricants partagent le code source avec d’autres entreprises, ils devraient être en mesure de protéger le droit de propriété du produit numérique et d’empêcher la divulgation du code source au public, par exemple par le biais d’accords contractuels.
(62) Afin de garantir que les fabricants de toute l’Union définissent des périodes d’assistance comparables pour des produits numériques comparables, ADCO devrait publier des statistiques sur les périodes d’assistance moyennes définies par les fabricants pour des catégories de produits numériques et émettre des lignes directrices indiquant les périodes d’assistance appropriées pour ces catégories. En outre, afin de garantir une approche harmonisée dans l’ensemble du marché intérieur, la Commission devrait pouvoir adopter des actes délégués afin de fixer des périodes d’assistance minimales pour certaines catégories de produits lorsque les données fournies par les autorités de surveillance du marché indiquent soit que les périodes d’assistance fixées par les fabricants ne sont pas systématiquement conformes aux critères de fixation des périodes d’assistance définis dans le présent règlement, soit que les fabricants de différents États membres fixent des périodes d’assistance différentes de manière injustifiée.
(63) Les fabricants devraient mettre en place un point de contact unique permettant aux utilisateurs de communiquer sans effort avec eux, par exemple pour signaler les vulnérabilités du produit contenant des éléments numériques et pour obtenir des informations sur ces vulnérabilités. Ils doivent rendre le point de contact unique facilement accessible aux utilisateurs, fournir des informations claires sur la manière de le joindre et tenir ces informations à jour. Si les fabricants choisissent de proposer des outils automatisés tels que des boîtes de discussion, ils devraient également fournir un numéro de téléphone ou d’autres moyens de contact numériques tels qu’une adresse électronique ou un formulaire de contact. Le point de contact unique ne devrait pas reposer exclusivement sur des outils automatisés.
(64) Les fabricants devraient mettre à disposition sur le marché leurs produits contenant des éléments numériques avec une configuration standard sécurisée et mettre gratuitement à la disposition des utilisateurs des mises à jour de sécurité. Les fabricants ne devraient pouvoir déroger aux exigences de base en matière de cybersécurité que dans le cas de produits sur mesure, conçus pour un utilisateur professionnel spécifique dans un but précis et pour lesquels tant le fabricant que l’utilisateur ont expressément accepté d’autres conditions contractuelles.
(65) Les vulnérabilités activement exploitées dans les produits numériques et les incidents de sécurité graves affectant la sécurité de ces produits devraient être notifiés simultanément par les fabricants à l’équipe d’intervention en cas d’incident de sécurité informatique (CSIRT) désignée comme coordonnateur et à l’ENISA via la plateforme de notification unique. Les notifications devraient être transmises via le point final de notification électronique d’un CSIRT désigné comme coordinateur et être simultanément accessibles à l’ENISA.
(66) Les fabricants devraient signaler activement les vulnérabilités exploitées afin de veiller à ce que les CSIRT désignés comme coordinateurs et l’ENISA aient une vue d’ensemble adéquate de ces vulnérabilités et reçoivent les informations dont ils ont besoin pour s’acquitter des tâches qui leur incombent en vertu de la directive (UE) 2022/2555 et pour relever le niveau global de cybersécurité des installations essentielles et importantes visées à l’article 3 de ladite directive, ainsi que pour assurer le fonctionnement efficace des autorités de surveillance du marché. Étant donné que la plupart des produits contenant des éléments numériques sont commercialisés dans l’ensemble du marché intérieur, toute vulnérabilité exploitée dans un produit contenant des éléments numériques devrait être considérée comme une menace pour le fonctionnement du marché intérieur. En accord avec le fabricant, l’ENISA devrait publier les vulnérabilités corrigées dans la base de données européenne sur les vulnérabilités créée conformément à l’article 12, paragraphe 2, de la directive (UE) 2022/2555 . La base de données européenne sur les vulnérabilités aidera les fabricants à identifier les vulnérabilités exploitables connues dans leurs produits afin de garantir la mise à disposition de produits sûrs sur le marché.
(67) Les fabricants devraient également notifier au CSIRT désigné comme coordinateur et à l’ENISA tout incident de sécurité grave ayant une incidence sur la sécurité d’un produit numérique. Afin de permettre aux utilisateurs de réagir rapidement aux incidents de sécurité graves qui affectent la sécurité de leurs produits contenant des éléments numériques, les fabricants devraient également informer leurs utilisateurs de ces incidents de sécurité et, le cas échéant, des mesures correctives que les utilisateurs peuvent prendre pour atténuer l’impact de l’incident de sécurité, par exemple en publiant des informations pertinentes sur leurs sites web ou, si le fabricant peut contacter les utilisateurs et que les risques de cybersécurité le justifient, en contactant directement les utilisateurs.
(68) Les vulnérabilités activement exploitées sont les cas où un fabricant constate qu’une violation de la sécurité affectant ses utilisateurs ou d’autres personnes physiques ou morales est due à l’exploitation, par un acteur malveillant, d’une faille dans l’un des produits contenant des éléments numériques qu’il met sur le marché. Ces vulnérabilités peuvent être, par exemple, des faiblesses dans les fonctions d’identification et d’authentification d’un produit. Les vulnérabilités découvertes sans intention malveillante lors de tests, d’enquêtes, de corrections ou de divulgations effectués de bonne foi et visant à assurer la sécurité et la protection du propriétaire du système et de ses utilisateurs ne doivent pas faire l’objet d’une notification. En revanche, les incidents de sécurité majeurs affectant la sécurité du produit contenant des éléments numériques font référence aux situations dans lesquelles un incident de cybersécurité affecte les processus de conception, de fabrication ou de maintenance du fabricant de telle sorte qu’il pourrait entraîner un risque accru de cybersécurité pour les utilisateurs ou d’autres personnes. Ces incidents de sécurité majeurs incluent, par exemple, le cas où un attaquant a réussi à introduire un programme malveillant dans le canal de partage par lequel le fabricant diffuse les mises à jour de sécurité aux utilisateurs.
(69) Afin que les notifications puissent être transmises rapidement à tous les CSIRT pertinents désignés comme coordinateurs et que les fabricants aient la possibilité de procéder à une notification individuelle à chaque étape de la procédure de notification, l’ENISA devrait mettre en place une plateforme de notification unique avec des points de terminaison nationaux pour la notification électronique. Le fonctionnement continu de la plateforme de notification unique devrait être géré et maintenu par l’ENISA. Les CSIRT désignés comme coordinateurs devraient informer leurs autorités de surveillance du marché respectives des vulnérabilités ou des incidents de sécurité signalés. La plateforme de notification unique devrait être conçue de manière à préserver la confidentialité des notifications, en particulier pour les vulnérabilités pour lesquelles aucune mise à jour de sécurité n’est encore disponible. En outre, l’ENISA devrait établir des procédures pour le traitement sûr et confidentiel des informations. Sur la base des informations qu’elle recueille, l’ENISA devrait rédiger tous les deux ans un rapport technique sur les tendances émergentes en matière de risques de cybersécurité liés aux produits contenant des éléments numériques et le soumettre au groupe de coopération institué par l’article 14 de la directive (UE) 2022/2555 .
(70) Dans des circonstances exceptionnelles, et notamment à la demande du fabricant, le CSIRT désigné comme coordinateur qui reçoit la notification en premier lieu devrait pouvoir décider de différer la transmission aux autres CSIRT pertinents désignés comme coordinateurs via la plateforme de notification unique, si cela peut être justifié par des raisons de cybersécurité et pour une période strictement nécessaire. Le CSIRT désigné comme coordinateur devrait informer immédiatement l’ENISA de sa décision de report et des raisons qui la motivent, ainsi que de la date à laquelle il a l’intention de procéder à une rediffusion. La Commission devrait élaborer, au moyen d’un acte délégué, des détails techniques sur les conditions dans lesquelles des motifs de cybersécurité pourraient être invoqués et coopérer avec le réseau de CSIRTS établi conformément à l’article 15 de la directive (UE) 2022/2555 et l’ENISA lors de l’élaboration du projet d’acte délégué. Les raisons de cybersécurité peuvent être, par exemple, un processus en cours de divulgation coordonnée des vulnérabilités ou des situations dans lesquelles on s’attend à ce qu’un fabricant prenne prochainement une mesure d’atténuation et où les risques de cybersécurité liés à une transmission directe via la plateforme de notification unique l’emportent sur les avantages de cette transmission. la demande du CSIRT désigné comme coordinateur, l’ENISA devrait être en mesure d’aider le CSIRT à invoquer des motifs de cybersécurité liés au report de la transmission de la notification, sur la base des informations reçues par l’ENISA de ce CSIRT concernant la décision de reporter une notification pour ces motifs liés à la cybersécurité. En outre, dans des circonstances particulièrement exceptionnelles, l’ENISA ne devrait pas recevoir simultanément tous les détails d’une notification concernant une vulnérabilité activement exploitée. Ce serait le cas si le fabricant indiquait dans sa notification que la vulnérabilité signalée a été activement exploitée par un acteur malveillant et que, selon les informations disponibles, elle n’a pas été exploitée dans un État membre autre que celui du CSIRT désigné comme coordinateur auquel le fabricant a notifié la vulnérabilité, si la diffusion immédiate de la notification de la vulnérabilité est susceptible d’entraîner une fuite d’informations dont la divulgation serait contraire aux intérêts essentiels de cet État membre ou si la vulnérabilité notifiée présenterait, du fait de sa diffusion, un risque imminent élevé pour la cybersécurité. Dans de tels cas, l’ENISA n’aura accès qu’à l’information selon laquelle le fabricant a effectué une notification, à des informations générales sur le produit numérique en question, à l’information sur le type général d’exploitation et à l’information selon laquelle ces raisons de sécurité ont été invoquées par le fabricant et que le contenu complet de la notification est donc retenu. La notification complète doit être mise à la disposition de l’ENISA et des autres CSIRT pertinents désignés comme coordinateurs lorsque le CSIRT désigné comme coordinateur qui reçoit initialement la notification constate que ces motifs de sécurité, qui reflètent des circonstances particulièrement exceptionnelles au sens du présent règlement, n’existent plus. Si l’ENISA estime, sur la base des informations disponibles, qu’il existe un risque systémique pour la sécurité du marché intérieur, elle devrait recommander au CSIRT qui a reçu la notification de transmettre la notification complète aux autres CSIRT désignés comme coordonnateurs et à l’ENISA elle-même.
(71) Lorsque les fabricants signalent une vulnérabilité activement exploitée ou un incident de sécurité grave qui a une incidence sur la sécurité du produit numérique, ils doivent indiquer le degré de sensibilité qu’ils accordent aux informations signalées. Le CSIRT désigné comme coordinateur qui reçoit initialement la notification devrait tenir compte de ces informations lorsqu’il examine si la notification suggère des circonstances exceptionnelles justifiant le report de la transmission de la notification aux autres CSIRT pertinents désignés comme coordinateurs pour des raisons légitimes de cybersécurité. En outre, il devrait tenir compte de ces informations lorsqu’il évalue si la notification d’une vulnérabilité activement exploitée suggère des circonstances particulièrement exceptionnelles qui justifient que la notification complète ne soit pas mise à la disposition de l’ENISA simultanément. En outre, les CSIRT désignés comme coordinateurs devraient être en mesure de tenir compte de ces informations lorsqu’ils définissent les mesures appropriées pour atténuer les risques découlant des vulnérabilités et des incidents de sécurité correspondants.
(72) Afin de simplifier la notification des informations requises par le présent règlement et de réduire la charge administrative pesant sur les institutions, compte tenu des autres obligations de notification complémentaires prévues par le droit de l’Union, telles que le règlement (UE) 2016/679, le règlement (UE) 2022/2554 du Parlement européen et du Conseil (25), la directive 2002/58/CE du Parlement européen et du Conseil (26) et la directive (UE) 2022/2555, les États membres sont encouragés à envisager la mise en place de points de contact centraux au niveau national pour ces obligations de notification. Le recours à de tels guichets uniques nationaux pour la notification des incidents de sécurité conformément au règlement (UE) 2016/679 et à la directive 2002/58/CE devrait être sans préjudice de l’application des dispositions du règlement (UE) 2016/679 et de la directive 2002/58/CE, notamment celles relatives à l’indépendance des autorités qui y sont mentionnées. Lors de la mise en place de la plateforme de notification unique visée dans le présent règlement, l’ENISA devrait tenir compte de la possibilité d’intégrer les points de terminaison nationaux pour la notification électronique visés dans le présent règlement dans des guichets uniques nationaux, qui peuvent également inclure d’autres notifications requises par le droit de l’Union.
(73) Afin de tirer parti de l’expérience acquise par le passé, l’ENISA devrait, lors de la mise en place de la plateforme de notification unique visée dans le présent règlement, consulter d’autres institutions ou agences de l’Union qui gèrent des plateformes ou des bases de données soumises à des exigences de sécurité strictes, telles que l’Agence de l’Union européenne pour la gestion opérationnelle des systèmes d’information à grande échelle dans l’espace de liberté, de sécurité et de justice (eu-LISA). En outre, l’ENISA devrait examiner les complémentarités possibles avec la base de données européenne sur les vulnérabilités créée conformément à l’article 12, paragraphe 2, de la directive (UE) 2022/2555 .
(74) Les fabricants et autres personnes physiques ou morales doivent être en mesure de signaler volontairement à un CSIRT désigné comme coordinateur ou à l’ENISA toute vulnérabilité contenue dans un produit numérique, toute cybermenace susceptible d’avoir un impact sur le profil de risque d’un produit numérique, tout incident de sécurité ayant un impact sur la sécurité du produit numérique, ainsi que les incidents évités de justesse qui auraient pu conduire à un tel incident de sécurité.
(75) Les États membres devraient, dans la mesure du possible et conformément à la législation nationale, relever les défis auxquels sont confrontés les chercheurs qui s’intéressent aux vulnérabilités, y compris leur responsabilité pénale potentielle. Étant donné que les personnes physiques et morales qui effectuent des recherches sur les vulnérabilités pourraient être soumises à la responsabilité pénale et civile dans certains États membres, ces derniers sont invités à adopter des lignes directrices sur l’absence de poursuites à l’encontre des chercheurs dans le domaine de la sécurité de l’information et à adopter une dérogation à la responsabilité civile pour leurs activités.
(76) Les fabricants de produits contenant des éléments numériques devraient mettre en place des politiques de divulgation coordonnée des vulnérabilités afin de faciliter la notification des vulnérabilités par des personnes physiques ou morales, soit directement au fabricant, soit indirectement et, si elles le souhaitent, de manière anonyme, par l’intermédiaire des CSIRT désignés comme coordinateurs aux fins de la divulgation coordonnée des vulnérabilités, conformément à l’article 12, paragraphe 1, de la directive (UE) 2022/2555 . L’approche des fabricants en matière de divulgation coordonnée des vulnérabilités devrait prévoir un processus structuré dans le cadre duquel les vulnérabilités sont signalées au fabricant d’une manière qui permette à ce dernier de diagnostiquer ces vulnérabilités et d’y remédier avant de communiquer des informations détaillées sur la vulnérabilité à des tiers ou au public. En outre, les fabricants devraient également envisager de publier leurs politiques de sécurité dans un format lisible par machine. Étant donné que les informations sur les vulnérabilités exploitables dans des produits numériques largement répandus peuvent atteindre des prix élevés sur le marché noir, les fabricants de ces produits devraient être en mesure de mettre en œuvre, dans le cadre de leurs politiques de divulgation coordonnée des vulnérabilités, des programmes visant à encourager la notification des vulnérabilités en faisant en sorte que les personnes physiques ou morales soient reconnues et récompensées pour leurs efforts. Il s’agit de programmes dits de “bug bounty”.
(77) Pour faciliter l’analyse des vulnérabilités, les fabricants devraient identifier et documenter les composants des produits contenant des éléments numériques et, le cas échéant, établir une nomenclature logicielle. Une nomenclature logicielle peut fournir aux personnes qui fabriquent, achètent et exploitent des logiciels des informations qui les aident à mieux comprendre la chaîne d’approvisionnement, ce qui présente de nombreux avantages, notamment en permettant aux fabricants et aux utilisateurs de suivre les vulnérabilités et les risques de cybersécurité connus et émergents. Il est particulièrement important que les fabricants veillent à ce que leurs produits contenant des éléments numériques ne contiennent pas de composants vulnérables conçus par des tiers. Les fabricants ne devraient pas être tenus de publier la nomenclature des logiciels.
(78) Dans le cadre des nouveaux modèles commerciaux complexes liés aux ventes en ligne, une entreprise active en ligne peut fournir une grande variété de services. En fonction du type de services fournis pour un produit numérique donné, une même entreprise peut appartenir à différentes catégories de modèles commerciaux ou d’acteurs économiques. Si une entreprise fournit uniquement des services d’intermédiation en ligne pour un produit numérique donné et qu’elle est uniquement un fournisseur d’une place de marché en ligne au sens de l’article 3, point 14, du règlement (UE) 2023/988 , elle n’entre dans aucune des catégories d’opérateurs économiques au sens du présent règlement. Si une entreprise est un fournisseur d’une place de marché en ligne qui agit également en tant qu’opérateur économique au sens du présent règlement lorsqu’elle vend certains produits contenant des éléments numériques, elle doit être soumise aux obligations prévues par le présent règlement pour ce type d’opérateur économique. Par exemple, si le fournisseur d’une place de marché en ligne distribue également un produit contenant des éléments numériques, il sera considéré comme un commerçant en ce qui concerne la vente de ce produit. De même, si l’entreprise concernée vend ses propres produits de marque contenant des éléments numériques, elle serait considérée comme un fabricant et devrait donc se conformer aux exigences applicables aux fabricants. En outre, certaines entreprises peuvent être considérées comme des prestataires de services de fulfilment au sens de l’article 3, point 11, du règlement (UE) 2019/1020 du Parlement européen et du Conseil (27) si elles fournissent les services en question. Les cas concernés devraient être évalués au cas par cas. Étant donné le rôle prépondérant des places de marché en ligne dans la facilitation du commerce électronique, celles-ci devraient s’efforcer de coopérer avec les autorités de surveillance du marché des États membres afin de contribuer à garantir que les produits contenant des éléments numériques achetés sur les places de marché en ligne respectent les exigences de cybersécurité établies par le présent règlement.
(79) Afin de faciliter l’évaluation de la conformité aux exigences définies dans le présent règlement, il convient d’accorder une présomption de conformité aux produits intégrant des éléments numériques qui sont conformes à des normes harmonisées traduisant les exigences essentielles de cybersécurité définies dans le présent règlement en spécifications techniques détaillées, adoptées conformément au règlement (UE) no 1025/2012 du Parlement européen et du Conseil (28). Ledit règlement prévoit une procédure d’objection à l’encontre des normes harmonisées dans le cas où ces normes ne satisfont pas pleinement aux exigences fixées par le présent règlement. Le processus de normalisation devrait garantir une représentation équilibrée des parties prenantes et une participation effective des acteurs de la société civile, y compris des organisations de consommateurs. Les normes internationales conformes au niveau de protection de la cybersécurité visé par les exigences essentielles de cybersécurité établies par le présent règlement devraient également être prises en compte afin de soutenir l’élaboration de normes harmonisées et la mise en œuvre du présent règlement et de faciliter la mise en conformité des entreprises, notamment des microentreprises, des petites et moyennes entreprises et des entreprises d’envergure mondiale.
(80) L’élaboration en temps utile de normes harmonisées pendant la période de transition pour l’application du présent règlement et leur disponibilité avant la date d’application du présent règlement seront particulièrement importantes pour sa mise en œuvre effective. C’est notamment le cas pour les produits essentiels contenant des éléments numériques de classe I. La disponibilité de normes harmonisées permettra aux fabricants des produits concernés d’effectuer les évaluations de conformité par le biais de la procédure de contrôle interne et peut donc contribuer à éviter les goulets d’étranglement et les retards dans les activités des organismes d’évaluation de la conformité.
(81) Le règlement (UE) 2019/881 établit un cadre européen volontaire pour la certification de la cybersécurité des produits, processus et services TIC. Les schémas européens de certification de la cybersécurité fournissent un cadre commun pour la confiance des utilisateurs dans l’utilisation des produits contenant des éléments numériques qui relèvent du champ d’application du présent règlement. En conséquence, le présent règlement devrait créer des synergies avec le règlement (UE) 2019/881. Afin de faciliter l’évaluation de la conformité aux exigences établies par le présent règlement, les produits contenant des éléments numériques qui ont été certifiés conformément au règlement (UE) 2019/881 dans le cadre d’un schéma européen de cybersécurité établi par la Commission dans un acte d’exécution, ou pour lesquels une déclaration de conformité a été délivrée dans le cadre d’un tel schéma, sont présumés conformes aux exigences essentielles de cybersécurité établies par le présent règlement, pour autant que le certificat européen de cybersécurité ou la déclaration de conformité, ou des parties de ces certificats, couvrent ces exigences. La nécessité de nouveaux schémas européens de certification de la cybersécurité pour les produits contenant des éléments numériques doit être examinée à la lumière du présent règlement, y compris lors de l’élaboration du programme de travail glissant de l’Union prévu par le règlement (UE) 2019/881. Si un nouveau schéma pour les produits contenant des éléments numériques est nécessaire, par exemple pour faciliter le respect du présent règlement, la Commission peut demander à l’ENISA, conformément à l’article 48 du règlement (UE) 2019/881, d’élaborer des schémas possibles. Ces futurs schémas européens de certification de la cybersécurité des produits contenant des éléments numériques devraient tenir compte des exigences essentielles de cybersécurité et des procédures d’évaluation de la conformité établies par le présent règlement et faciliter le respect de celui-ci. Les schémas européens de certification de la cybersécurité qui entrent en vigueur avant l’entrée en vigueur du présent règlement peuvent nécessiter des spécifications supplémentaires concernant des aspects détaillés relatifs à l’application d’une présomption de conformité. Il convient de conférer à la Commission le pouvoir de préciser, au moyen d’actes délégués, les conditions dans lesquelles les schémas européens de certification en cybersécurité peuvent être utilisés pour démontrer la conformité aux exigences essentielles de cybersécurité établies par le présent règlement. En outre, afin d’éviter une charge administrative excessive, les fabricants ne devraient pas être tenus de faire procéder à une évaluation de la conformité par un tiers pour les exigences concernées, comme le prévoit le présent règlement, lorsqu’un certificat européen de cybersécurité de niveau “intermédiaire” au moins a été délivré dans le cadre de tels schémas européens de certification en matière de cybersécurité.
(82) Lors de l’entrée en vigueur du règlement d’exécution (UE) 2024/482, qui concerne les produits relevant du champ d’application du présent règlement, tels que les modules de sécurité matériels et les microprocesseurs, la Commission devrait pouvoir déterminer, au moyen d’un acte délégué, la manière dont le CCNU peut conférer une présomption de conformité aux exigences essentielles de cybersécurité ou à certaines parties de celles-ci, telles que définies dans le présent règlement. En outre, un tel acte délégué peut préciser comment un certificat délivré dans le cadre de l’EUCC peut supprimer l’obligation faite aux fabricants par le présent règlement de faire procéder à une évaluation par un tiers pour les exigences concernées.
(83) Le cadre européen de normalisation existant, fondé sur les principes de la nouvelle approche définis dans la résolution du Conseil du 7 mai 1985 concernant une nouvelle approche en matière d’harmonisation technique et de normalisation et dans le règlement (UE) no 1025/2012, constitue le cadre standard pour l’élaboration de normes conférant une présomption de conformité aux exigences essentielles de cybersécurité pertinentes définies dans le présent règlement. Les normes européennes devraient être axées sur le marché, tenir compte de l’intérêt public ainsi que des objectifs politiques clairement énoncés dans le mandat donné par la Commission à un ou plusieurs organismes européens de normalisation pour élaborer des normes harmonisées dans un délai donné, et être fondées sur un consensus. Toutefois, en l’absence de références pertinentes à des normes harmonisées, la Commission devrait pouvoir adopter, dans des cas exceptionnels, à titre de solution de rechange et en respectant dûment le rôle et les tâches des organismes européens de normalisation, des actes d’exécution établissant des spécifications communes pour les exigences essentielles de cybersécurité définies dans le présent règlement, afin de faciliter le respect par le fabricant de son obligation de se conformer à ces exigences essentielles de cybersécurité en cas de blocage de la procédure de normalisation ou de retard dans l’élaboration de normes harmonisées appropriées. Si un tel retard est dû à la complexité technique de la norme concernée, la Commission devrait en tenir compte avant d’envisager l’établissement de spécifications communes.
(84) Afin d’être aussi efficace que possible dans la définition de spécifications communes couvrant les exigences essentielles de cybersécurité visées par le présent règlement, la Commission devrait associer les parties prenantes concernées au processus.
(85) Par délai raisonnable, on entend, en ce qui concerne la publication de la référence des normes harmonisées au Journal officiel de l’Union européenne conformément au règlement (UE) no 1025/2012, une période au cours de laquelle la référence de la norme, son rectificatif ou sa modification sont susceptibles d’être publiés au Journal officiel de l’Union européenne et qui ne devrait pas dépasser un an après la date limite d’élaboration du projet de norme européenne conformément au règlement (UE) no 1025/2012.
(86) Afin de faciliter l’évaluation de la conformité aux exigences essentielles de cybersécurité définies dans le présent règlement, il convient de conférer une présomption de conformité aux produits contenant des éléments numériques qui sont conformes aux spécifications communes adoptées par la Commission en vertu du présent règlement afin de formuler des spécifications techniques détaillées pour ces exigences.
(87) Le recours à des normes harmonisées, à des spécifications communes ou à des schémas européens de certification de la cybersécurité adoptés conformément au règlement (UE) 2019/881, qui confèrent une présomption de conformité aux exigences essentielles de cybersécurité applicables aux produits contenant des éléments numériques, facilitera l’évaluation de la conformité par les fabricants. Si le fabricant décide de ne pas utiliser ces moyens pour certaines exigences, il devra indiquer dans sa documentation technique comment la conformité est obtenue par d’autres moyens. En outre, l’utilisation de normes harmonisées, de spécifications communes ou de schémas européens de certification de la cybersécurité adoptés conformément au règlement (UE) 2019/881, en établissant une présomption de conformité pour les fabricants, faciliterait la vérification de la conformité des produits contenant des éléments numériques par les autorités de surveillance du marché. Par conséquent, les fabricants de produits contenant des éléments numériques sont encouragés à utiliser ces normes harmonisées, spécifications communes ou schémas européens pour la certification en matière de cybersécurité.
(88) Les fabricants doivent établir une déclaration de conformité UE qui contient les informations requises par le présent règlement concernant la conformité des produits intégrant des éléments numériques aux exigences essentielles de cybersécurité définies dans le présent règlement et, le cas échéant, aux autres dispositions pertinentes de la législation d’harmonisation de l’Union auxquelles le produit intégrant des éléments numériques est soumis. Les fabricants peuvent également être tenus de délivrer une déclaration de conformité UE en vertu d’autres actes législatifs de l’Union. Afin de garantir un accès efficace aux informations aux fins de la surveillance du marché, il convient de délivrer une déclaration UE de conformité unique concernant le respect de tous les actes législatifs de l’Union applicables. Afin de réduire la charge administrative pesant sur les opérateurs économiques, il devrait être permis que cette déclaration UE de conformité unique soit constituée d’un dossier composé des déclarations de conformité individuelles pertinentes.
(89) Le marquage CE exprime la conformité d’un produit et est le résultat visible de tout un processus qui comprend l’évaluation de la conformité au sens large. Les principes généraux du marquage CE sont définis dans le règlement (CE) no 765/2008 du Parlement européen et du Conseil (29). Les règles relatives à l’apposition du marquage “CE” sur les produits contenant des éléments numériques devraient être définies dans le présent règlement. Le marquage CE doit être le seul marquage garantissant la conformité des produits contenant des éléments numériques avec les exigences énoncées dans le présent règlement.
(90) Pour permettre aux opérateurs économiques de démontrer la conformité aux exigences essentielles de cybersécurité définies dans le présent règlement et aux autorités de surveillance du marché de s’assurer que les produits contenant des éléments numériques mis à disposition sur le marché respectent ces exigences, il convient de prévoir des procédures d’évaluation de la conformité. La décision no 768/2008/CE du Parlement européen et du Conseil (30 ) établit des modules pour les procédures d’évaluation de la conformité qui sont proportionnels au niveau de risque et au niveau de sécurité requis. Afin d’assurer la cohérence intersectorielle et d’éviter les variantes ad hoc, les procédures d’évaluation de la conformité destinées à vérifier la conformité des produits contenant des éléments numériques avec les exigences essentielles de cybersécurité définies dans le présent règlement doivent être fondées sur ces modules. Les procédures d’évaluation de la conformité devraient examiner et vérifier les exigences liées à la fois aux produits et aux processus, qui couvrent l’ensemble du cycle de vie des produits intégrant des éléments numériques, y compris la planification, la conception, le développement ou la fabrication, les essais et la maintenance du produit intégrant des éléments numériques.
(91) L’évaluation de la conformité des produits contenant des éléments numériques qui ne sont pas répertoriés dans le présent règlement comme produits essentiels ou critiques contenant des éléments numériques peut être effectuée par le fabricant sous sa propre responsabilité, conformément au présent règlement, selon la procédure de contrôle interne fondée sur le module A de la décision no 768/2008/CE. Cela s’applique également aux cas où un fabricant décide de ne pas appliquer, en tout ou en partie, une norme harmonisée, une spécification commune ou un schéma européen de certification en matière de cybersécurité en vigueur. Le fabricant reste libre d’opter pour une procédure d’évaluation de la conformité plus stricte faisant intervenir un tiers. Dans le cadre de l’évaluation de la conformité effectuée conformément à la procédure de contrôle interne, le fabricant assure et déclare, sous sa propre responsabilité, que le produit contenant des éléments numériques et les processus du fabricant sont conformes aux exigences essentielles de cybersécurité applicables définies dans le présent règlement. Lorsqu’un produit important contenant des éléments numériques relève de la classe I, un contrôle de confiance supplémentaire est nécessaire pour démontrer la conformité aux exigences essentielles de cybersécurité définies dans le présent règlement. Le fabricant doit utiliser des normes harmonisées, des spécifications communes ou des schémas européens de certification de la cybersécurité adoptés conformément au règlement (UE) 2019/881 et identifiés par la Commission dans un acte d’exécution s’il souhaite effectuer l’évaluation de la conformité sous sa propre responsabilité (module A). Si le fabricant n’utilise pas de telles normes harmonisées, spécifications communes ou schémas européens pour la certification en matière de cybersécurité, l’évaluation de la conformité doit être effectuée avec la participation d’un tiers (sur la base des modules B et C ou H). Compte tenu de la charge administrative pesant sur les fabricants et du fait que la cybersécurité joue un rôle important dans la phase de conception et de développement des produits matériels et immatériels contenant des éléments numériques, les procédures d’évaluation de la conformité fondées sur les modules B et C ou sur le module H de la décision no 768/2008/CE ont été choisies comme étant les plus appropriées pour évaluer de manière proportionnée et efficace la conformité des produits importants contenant des éléments numériques. Le fabricant qui fait réaliser l’évaluation de la conformité par un tiers peut choisir la procédure qui correspond le mieux à son processus de conception et de fabrication. Compte tenu du risque de cybersécurité encore plus élevé lié à l’utilisation de produits importants contenant des éléments numériques relevant de la classe II, l’évaluation de leur conformité devrait toujours faire intervenir un tiers, même si le produit est entièrement ou partiellement conforme aux normes harmonisées, aux spécifications communes ou aux schémas européens de certification de la cybersécurité. Les fabricants de produits importants contenant des éléments numériques considérés comme des logiciels libres et à code source ouvert devraient pouvoir appliquer la procédure de contrôle interne fondée sur le module A, à condition de mettre la documentation technique à la disposition du public.
(92) Alors que la fabrication de produits matériels contenant des éléments numériques nécessite généralement un effort considérable tout au long des phases de conception, de développement et de fabrication, la fabrication de produits contenant des éléments numériques sous forme de logiciels se concentre presque exclusivement sur la conception et le développement, tandis que la phase de fabrication joue un rôle secondaire. Néanmoins, les produits logiciels doivent encore souvent être compilés et assemblés en versions, empaquetés, mis à disposition pour téléchargement ou copiés sur des supports physiques avant d’être mis sur le marché. Lors de l’application des modules d’évaluation de la conformité pertinents pour vérifier la conformité du produit aux exigences essentielles de cybersécurité définies dans le présent règlement au cours des phases de conception, de développement et de fabrication, ces activités doivent être considérées comme équivalentes au processus de fabrication.
(93) En ce qui concerne les microentreprises et les petites entreprises, il convient, pour garantir la proportionnalité, de réduire les coûts administratifs sans porter atteinte au niveau de cybersécurité des produits contenant des éléments numériques relevant du champ d’application du présent règlement ni à l’existence de conditions de concurrence équitables entre les fabricants. La Commission devrait donc élaborer un formulaire simplifié de documentation technique adapté aux besoins des micro et petites entreprises. Le formulaire simplifié de documentation technique adopté par la Commission devrait couvrir tous les éléments applicables en ce qui concerne la documentation technique prévue par le présent règlement et indiquer comment une microentreprise ou une petite entreprise peut fournir les éléments demandés sous une forme concise, par exemple la description de la conception, du développement et de la fabrication du produit avec des éléments numériques. De cette manière, le formulaire contribuerait à réduire la charge administrative liée à la conformité en offrant aux entreprises concernées une sécurité juridique quant à la portée et aux détails des informations à fournir. Les microentreprises et les petites entreprises devraient avoir la possibilité de présenter les éléments applicables en rapport avec la documentation technique sous une forme complète et de ne pas utiliser le formulaire technique simplifié mis à leur disposition.
(94) Afin de promouvoir et de protéger l’innovation, il est important d’accorder une attention particulière aux intérêts des fabricants qui sont des microentreprises ou des petites et moyennes entreprises, en particulier les microentreprises et les petites entreprises, y compris les jeunes pousses. cette fin, les États membres pourraient élaborer des initiatives destinées aux fabricants qui sont des microentreprises ou des petites entreprises, notamment dans les domaines de la formation, de la sensibilisation, de la communication d’informations, des essais, de l’évaluation de la conformité par des tiers et de la création de laboratoires réels. Les coûts de traduction liés à la documentation obligatoire, telle que la documentation technique, et aux informations et instructions destinées aux utilisateurs et requises par le présent règlement, ainsi qu’à la communication avec les autorités, peuvent entraîner des dépenses importantes pour les fabricants, en particulier pour les petits fabricants. Par conséquent, les États membres devraient également pouvoir vérifier si l’une des langues qu’ils désignent et acceptent pour la documentation pertinente des fabricants et pour la communication avec les fabricants est une langue largement comprise par le plus grand nombre possible d’utilisateurs.
(95) Afin d’assurer une bonne application du présent règlement, les États membres devraient, dans la mesure du possible, s’assurer, avant la date d’application du présent règlement, qu’il existe un nombre suffisant d’organismes notifiés capables de réaliser des évaluations de la conformité par des tiers. La Commission devrait, dans la mesure du possible, aider les États membres et les autres parties concernées dans cette entreprise afin d’éviter les goulets d’étranglement et les obstacles à l’accès au marché pour les fabricants. Des actions de formation ciblées, menées sous l’égide des États membres et, le cas échéant, avec l’aide de la Commission, peuvent contribuer à la disponibilité de professionnels qualifiés ainsi qu’au soutien des activités des organismes notifiés au titre du présent règlement. En outre, compte tenu des coûts que peut entraîner l’évaluation de la conformité par un tiers, il convient d’envisager des initiatives de financement au niveau de l’Union et au niveau national visant à réduire ces coûts pour les microentreprises et les petites entreprises.
(96) Afin de garantir la proportionnalité, les organismes d’évaluation de la conformité devraient tenir compte des intérêts et des besoins particuliers des micro, petites et moyennes entreprises, y compris les start-ups, lorsqu’ils fixent les redevances pour les procédures d’évaluation de la conformité. En particulier, les organismes d’évaluation de la conformité ne devraient recourir aux procédures de vérification et aux essais pertinents prévus par le présent règlement que si cela est approprié et selon une approche fondée sur les risques.
(97) Les laboratoires réels devraient avoir pour objectif de promouvoir l’innovation et la compétitivité des entreprises en créant des environnements d’essai contrôlés avant la mise sur le marché de produits contenant des éléments numériques. Les laboratoires réels devraient contribuer à renforcer la sécurité juridique pour tous les acteurs relevant du champ d’application du présent règlement et à faciliter et accélérer l’accès des produits intégrant des éléments numériques au marché de l’Union, notamment lorsqu’ils sont fournis par des microentreprises et des petites entreprises, y compris des start-ups.
(98) Pour que les produits contenant des éléments numériques puissent faire l’objet d’une évaluation de conformité par un tiers, les autorités nationales de notification doivent notifier les organismes d’évaluation de la conformité à la Commission et aux autres États membres, à condition que ces organismes remplissent un certain nombre d’exigences, notamment en matière d’indépendance, de compétence et d’absence de conflit d’intérêts.
(99) Afin de garantir un niveau de qualité uniforme dans la réalisation des évaluations de la conformité des produits contenant des éléments numériques, il est également nécessaire de définir les exigences applicables aux autorités de notification et aux autres organismes intervenant dans l’évaluation, la notification et le contrôle des organismes notifiés. Le système prévu par le présent règlement doit être complété par le système d’accréditation prévu par le règlement (CE) no 765/2008. L’accréditation étant un moyen important de vérifier la compétence des organismes d’évaluation de la conformité, elle devrait également être utilisée à des fins de notification.
(100) Les organismes d’évaluation de la conformité accrédités et notifiés conformément à la législation de l’Union qui fixe des exigences similaires à celles du présent règlement, comme un organisme d’évaluation de la conformité notifié pour un schéma européen de certification en cybersécurité adopté en vertu du règlement (UE) 2019/881 ou en vertu du règlement délégué (UE) 2022/30, doivent être réévalués et notifiés en vertu du présent règlement. Toutefois, les autorités compétentes peuvent définir des synergies en ce qui concerne les exigences qui se chevauchent, afin d’éviter des charges financières et administratives inutiles et de garantir une procédure de notification harmonieuse et en temps utile.
(101) Une accréditation transparente, telle que définie par le règlement (CE) no 765/2008, qui garantit le niveau de confiance nécessaire dans les certificats de conformité, devrait être considérée par les autorités nationales de l’ensemble de l’Union comme le moyen privilégié de démontrer la compétence technique des organismes d’évaluation de la conformité. Toutefois, les autorités nationales peuvent estimer qu’elles disposent des moyens appropriés pour procéder elles-mêmes à cette évaluation. Dans ce cas, afin de garantir la crédibilité des évaluations effectuées par d’autres autorités nationales, elles doivent fournir à la Commission et aux autres États membres tous les documents nécessaires attestant que les organismes d’évaluation de la conformité évalués satisfont aux exigences légales applicables.
(102) Il est fréquent que les organismes d’évaluation de la conformité sous-traitent une partie de leurs activités d’évaluation de la conformité ou les confient à des filiales. Afin de maintenir le niveau de protection requis pour la mise sur le marché de produits contenant des éléments numériques dans l’Union, il est essentiel que les sous-traitants et les filiales respectent les mêmes exigences que les organismes notifiés pour l’exécution des tâches d’évaluation de la conformité.
(103) La notification d’un organisme d’évaluation de la conformité doit être transmise à la Commission et aux autres États membres par l’autorité notifiante via le système d’information NANDO (New Approach Notified and Designated Organisations, système d’information pour les organismes notifiés et désignés dans le cadre de la nouvelle approche). Le système d’information NANDO est l’outil de notification électronique développé et géré par la Commission, qui tient à jour une liste de tous les organismes notifiés.
(104) Étant donné que les organismes notifiés peuvent offrir leurs services dans toute l’Union, les autres États membres et la Commission doivent avoir la possibilité de soulever des objections à l’encontre d’un organisme notifié. Il est donc important de prévoir un délai pour résoudre les éventuels doutes ou préoccupations concernant la compétence des organismes d’évaluation de la conformité avant qu’ils ne commencent à travailler en tant qu’organismes notifiés.
(105) Dans l’intérêt de la compétitivité, il est essentiel que les organismes notifiés appliquent les procédures d’évaluation de la conformité sans créer de charges inutiles pour les opérateurs économiques. Pour la même raison, et afin de garantir l’égalité de traitement des opérateurs économiques, il convient d’assurer une application technique uniforme des procédures d’évaluation de la conformité. Le meilleur moyen d’y parvenir est d’assurer une coordination et une coopération appropriées entre les organismes notifiés.
(106) La surveillance du marché est un outil essentiel pour garantir une application correcte et uniforme du droit de l’Union. Il convient donc de mettre en place un cadre juridique dans lequel la surveillance du marché puisse s’effectuer de manière appropriée. Les dispositions du règlement (UE) 2019/1020 relatives à la surveillance du marché de l’Union et au contrôle des produits entrant sur le marché de l’Union s’appliquent également aux produits contenant des éléments numériques qui relèvent du champ d’application du présent règlement.
(107) Le règlement (UE) 2019/1020 prévoit qu’une autorité de surveillance du marché assure la surveillance du marché sur le territoire de l’État membre qui la désigne. Le présent règlement ne devrait pas empêcher les États membres de décider quelles sont les autorités compétentes pour l’exécution des tâches de surveillance du marché. Chaque État membre devrait désigner une ou plusieurs autorités de surveillance du marché sur son territoire. Les États membres devraient pouvoir décider de désigner une autorité existante ou une nouvelle autorité comme autorité de surveillance du marché, y compris les autorités compétentes désignées ou instituées conformément à l’article 8 de la directive (UE) 2022/2555, les autorités nationales de certification en matière de cybersécurité désignées conformément à l’article 58 du règlement (UE) 2019/881 ou les autorités de surveillance du marché désignées conformément à la directive 2014/53/UE. Les opérateurs économiques devraient coopérer pleinement avec les autorités de surveillance du marché et les autres autorités compétentes. Chaque État membre devrait informer la Commission et les autres États membres de ses autorités de surveillance du marché et de leurs domaines de compétence respectifs, et veiller à ce qu’elles disposent des ressources et des capacités nécessaires à l’exécution des tâches de surveillance du marché dans le cadre du présent règlement. Conformément à l’article 10, paragraphes 2 et 3, du règlement (UE) 2019/1020 , chaque État membre devrait désigner un bureau de liaison unique chargé, entre autres, de représenter la position coordonnée des autorités de surveillance du marché et de soutenir la coopération entre les autorités de surveillance du marché de différents États membres.
(108) En vue d’une application uniforme du présent règlement, il convient d’instituer un ADCO pour la cyber-résilience des produits contenant des éléments numériques, conformément à l’article 30, paragraphe 2, du règlement (UE) 2019/1020. L’ADCO devrait se composer de représentants des autorités de surveillance du marché désignées et, le cas échéant, de représentants des bureaux de liaison uniques. La Commission devrait soutenir et encourager la coopération entre les autorités de surveillance du marché par l’intermédiaire du réseau de l’Union sur la conformité des produits, établi conformément à l’article 29 du règlement (UE) 2019/1020 et composé de représentants de chaque État membre, y compris un représentant de chaque bureau central de liaison visé à l’article 10 dudit règlement et un expert national facultatif, ainsi que des présidents de l’ADCO et des représentants de la Commission. La Commission devrait participer aux réunions du réseau de l’Union sur la conformité des produits, de ses sous-groupes et d’ADCO. Elle devrait assister l’ADCO par l’intermédiaire d’un secrétariat exécutif qui lui apporterait un soutien technique et logistique. L’ADCO peut également inviter des experts indépendants à participer et se mettre en contact avec d’autres ADCO, par exemple celle créée dans le cadre de la directive 2014/53/UE.
(109) Les autorités de surveillance du marché devraient coopérer étroitement par l’intermédiaire de l’ADCO, créée en vertu du présent règlement, et être en mesure d’élaborer des documents d’orientation afin de faciliter les activités de surveillance du marché au niveau national, par exemple en mettant au point des bonnes pratiques et des indicateurs permettant de vérifier efficacement la conformité des produits contenant des éléments numériques avec le présent règlement.
(110) Afin de prendre des mesures opportunes, proportionnées et efficaces à l’égard des produits contenant des éléments numériques qui présentent un risque important en matière de cybersécurité, il convient de prévoir une procédure de clause de sauvegarde de l’Union permettant d’informer les parties intéressées des mesures envisagées à l’égard de ces produits. Cela permettrait aux autorités de surveillance du marché, en coopération avec les opérateurs économiques concernés, d’intervenir plus tôt si nécessaire. Lorsque les États membres et la Commission conviennent qu’une mesure prise par un État membre est justifiée, l’intervention de la Commission ne devrait se poursuivre que si la non-conformité peut être attribuée à des lacunes dans une norme harmonisée.
(111) Dans certains cas, un produit contenant des éléments numériques conforme au présent règlement peut néanmoins présenter un risque important en matière de cybersécurité ou un risque pour la santé ou la sécurité des personnes, pour le respect des obligations découlant du droit de l’Union ou du droit national en matière de protection des droits fondamentaux, pour la disponibilité, l’authenticité, l’intégrité ou la confidentialité des services fournis au moyen d’un système électronique d’information par des entités essentielles au sens de l’article 3, paragraphe 1, de la directive (UE) 2022/2555 , ou pour d’autres aspects de la protection des intérêts publics. Il est donc nécessaire d’établir des règles garantissant l’atténuation de ces risques. Par conséquent, les autorités de surveillance du marché doivent adopter des mesures obligeant l’opérateur économique, en fonction du risque, à faire en sorte que le produit ne présente plus ce risque ou à le rappeler ou à le retirer du marché. Lorsqu’une autorité de surveillance du marché restreint ou interdit de la sorte la libre circulation d’un produit contenant des éléments numériques, l’État membre doit en informer immédiatement la Commission et les autres États membres, en précisant les raisons et les arguments justifiant sa décision. Lorsqu’une autorité de surveillance du marché prend de telles mesures à l’encontre de produits intégrant des éléments numériques qui présentent un risque, la Commission devrait immédiatement entamer des consultations avec les États membres et le ou les opérateurs économiques concernés et évaluer la mesure nationale. Sur la base des résultats de cette évaluation, la Commission devrait décider si la mesure nationale est justifiée ou non. La Commission devrait adresser sa décision à tous les États membres et la leur communiquer immédiatement, ainsi qu’au(x) opérateur(s) économique(s) concerné(s). Si la mesure est jugée justifiée, la Commission devrait également être en mesure d’envisager des propositions de révision de la législation pertinente de l’Union.
(112) pour les produits contenant des éléments numériques qui présentent un risque important en matière de cybersécurité et dont il y a lieu de croire qu’ils ne sont pas conformes au présent règlement, ou pour les produits qui, bien que conformes au présent règlement, présentent d’autres risques importants, tels que des risques pour la santé ou la sécurité des personnes, pour le respect des obligations découlant du droit de l’Union ou du droit national en matière de protection des droits fondamentaux, ou pour la disponibilité, l’authenticité, l’intégrité ou la confidentialité des services fournis par l’intermédiaire d’un système d’information électronique par des entités essentielles au sens de l’article 3, paragraphe 1, de la directive (UE) 2022/2555, la Commission devrait pouvoir demander à l’ENISA de procéder à une évaluation. Sur la base de cette évaluation, la Commission devrait pouvoir adopter, au moyen d’actes d’exécution, des mesures correctives ou restrictives au niveau de l’Union, y compris ordonner le retrait du marché ou le rappel des produits concernés contenant des éléments numériques dans un délai proportionné à la nature du risque. Une telle intervention de la Commission ne devrait être possible que dans des circonstances exceptionnelles justifiant une action immédiate pour préserver le bon fonctionnement du marché intérieur et uniquement si les autorités de surveillance du marché n’ont pas pris de mesures efficaces pour remédier à la situation. Ces circonstances exceptionnelles peuvent être des situations d’urgence dans lesquelles, par exemple, un produit non conforme contenant des éléments numériques est mis à disposition sur le marché à grande échelle par le fabricant dans plusieurs États membres, y compris dans des secteurs clés d’établissements relevant du champ d’application de la directive (UE) 2022/2555, et présente des vulnérabilités connues qui sont exploitées par des acteurs malveillants et pour lesquelles le fabricant ne fournit pas de correctifs disponibles. Dans de telles situations d’urgence, la Commission ne devrait pouvoir intervenir que pendant la durée des circonstances exceptionnelles et seulement tant que la non-conformité au présent règlement ou les risques majeurs persistent.
(113) Lorsqu’il existe des preuves de non-conformité au présent règlement dans plusieurs États membres, les autorités de surveillance du marché devraient être en mesure de mener des activités conjointes avec d’autres autorités afin de vérifier la conformité et d’identifier les risques de cybersécurité liés aux produits contenant des éléments numériques.
(114) Les contrôles coordonnés simultanés (“sweeps”) sont des mesures d’application spécifiques menées par les autorités de surveillance du marché et qui peuvent améliorer encore la sécurité des produits. Les balayages devraient être effectués en particulier lorsque l’évolution du marché, les plaintes des consommateurs ou d’autres signes indiquent que certaines catégories de produits contenant des éléments numériques présentent souvent des risques de cybersécurité. En outre, les autorités de surveillance du marché devraient tenir compte des circonstances liées aux facteurs de risque non techniques lorsqu’elles déterminent les catégories de produits à soumettre à des balayages. cette fin, les autorités de surveillance du marché devraient être en mesure de prendre en considération les résultats des évaluations des risques relatives à la sûreté des chaînes d’approvisionnement critiques coordonnées au niveau de l’Union conformément à l’article 22 de la directive (UE) 2022/2555, y compris les circonstances relatives aux facteurs de risque non techniques. L’ENISA devrait soumettre aux autorités de surveillance du marché des propositions de catégories de produits contenant des éléments numériques pour lesquels des balayages pourraient être organisés, notamment sur la base des notifications de vulnérabilités et d’incidents de sécurité qu’elle reçoit.
(115) Compte tenu de son expertise et de sa mission, l’ENISA devrait être en mesure de soutenir le processus de mise en œuvre du présent règlement. En particulier, l’ENISA devrait être en mesure de proposer des activités communes à mener par les autorités de surveillance du marché sur la base d’indications ou d’informations concernant une éventuelle non-conformité de produits contenant des éléments numériques avec le présent règlement dans plusieurs États membres, ou d’identifier des catégories de produits pour lesquelles des balayages devraient être organisés. Dans des circonstances exceptionnelles, l’ENISA devrait pouvoir, à la demande de la Commission, procéder à des évaluations concernant des produits spécifiques contenant des éléments numériques qui présentent un risque important en matière de cybersécurité, lorsqu’une intervention immédiate est nécessaire pour préserver le bon fonctionnement du marché intérieur.
(116) Le présent règlement confie à l’ENISA certaines tâches qui nécessitent des ressources adéquates, tant en termes d’expertise que de ressources humaines, afin de permettre à l’ENISA de s’acquitter efficacement de ces tâches. Lors de l’élaboration du projet de budget général de l’Union, la Commission proposera les ressources budgétaires nécessaires pour le tableau des effectifs de l’ENISA, conformément à la procédure prévue à l’article 29 du règlement (UE) 2019/881. Au cours de ce processus, la Commission tiendra compte des ressources globales de l’ENISA afin de lui permettre de mener à bien ses missions, y compris celles qui lui sont confiées en vertu du présent règlement.
(117) Afin de permettre l’adaptation du cadre juridique si nécessaire, il convient de déléguer à la Commission le pouvoir d’adopter des actes conformément à l’article 290 du traité sur le fonctionnement de l’Union européenne (TFUE) en ce qui concerne la mise à jour de la liste des produits importants contenant des éléments numériques et leur inclusion dans l’annexe du présent règlement. Il convient de déléguer à la Commission le pouvoir d’adopter des actes conformément audit article en ce qui concerne la définition des produits contenant des éléments numériques qui sont couverts par d’autres dispositions de l’Union assurant le même niveau de protection que celui prévu par le présent règlement, ainsi que la détermination de la nécessité d’une limitation ou d’une exclusion du champ d’application du présent règlement et, le cas échéant, la définition de la portée de cette limitation. Il convient également de déléguer à la Commission le pouvoir d’adopter des actes conformément audit article en vue d’imposer, le cas échéant, la certification des produits critiques contenant des éléments numériques énumérés dans une annexe du présent règlement dans le cadre d’un système européen de certification de la cybersécurité, pour mettre à jour la liste des produits critiques contenant des éléments numériques sur la base des critères de criticité définis dans le présent règlement et pour définir les systèmes européens de certification de la cybersécurité, adoptés conformément au règlement (UE) 2019/881, qui peuvent être utilisés pour démontrer la conformité aux exigences essentielles de cybersécurité ou à certaines parties de celles-ci, telles que définies dans une annexe du présent règlement. Il convient également de déléguer à la Commission le pouvoir d’adopter des actes afin de déterminer, pour certaines catégories de produits, la période minimale d’assistance lorsque les données de surveillance du marché indiquent des périodes d’assistance insuffisantes, et de fixer les conditions commerciales pour l’application des motifs liés au risque de cybersécurité lorsque les notifications de vulnérabilités activement exploitées ne sont transmises qu’avec retard. En outre, il convient de déléguer à la Commission le pouvoir d’adopter des actes en vue d’établir des programmes volontaires d’attestation de la sécurité destinés à évaluer la conformité des produits contenant des éléments numériques considérés comme des logiciels libres et à code source ouvert à l’ensemble ou à certaines des exigences essentielles de cybersécurité ou à d’autres obligations énoncées dans le présent règlement, ainsi que d’imposer des informations minimales pour la déclaration de conformité de l’Union et de compléter les éléments à inclure dans la documentation technique. Il est particulièrement important que la Commission procède, au cours de ses travaux préparatoires, à des consultations appropriées, y compris au niveau des experts, conformément aux principes énoncés dans l’accord interinstitutionnel du 13 avril 2016 “Mieux légiférer” (31). En particulier, afin de garantir une participation égale à la préparation des actes délégués, le Parlement européen et le Conseil reçoivent tous les documents en même temps que les experts des États membres, et leurs experts ont systématiquement accès aux réunions des groupes d’experts de la Commission chargés de la préparation des actes délégués. Le pouvoir d’adopter des actes délégués en vertu du présent règlement est conféré à la Commission pour une période de cinq ans à compter du 10 décembre 2024. La Commission devrait établir un rapport relatif à la délégation de pouvoir au plus tard neuf mois avant la fin de la période de cinq ans. La délégation de pouvoir devrait être tacitement renouvelée pour des périodes de même durée, sauf si le Parlement européen ou le Conseil s’oppose à ce renouvellement au plus tard trois mois avant la fin de la période concernée.
(118) Afin d’assurer des conditions uniformes d’application du présent règlement, il convient de conférer des compétences d’exécution à la Commission en ce qui concerne les éléments suivants : définir la description technique des catégories de produits importants contenant des éléments numériques énumérés dans une annexe du présent règlement, définir le format et les éléments de la nomenclature des logiciels, préciser le format et la procédure de notification des vulnérabilités activement exploitées et des incidents de sécurité majeurs qui ont une incidence sur la sécurité des produits contenant des éléments numériques, telle qu’elle est communiquée par les fabricants, définir des spécifications communes pour les exigences techniques permettant de satisfaire aux exigences essentielles en matière de cybersécurité énoncées dans une annexe du présent règlement, définir des spécifications techniques pour les étiquettes, pictogrammes ou autres marquages relatifs à la sécurité des produits contenant des éléments numériques et leur période de prise en charge, ainsi que les mécanismes visant à promouvoir leur utilisation et à sensibiliser le public à la sécurité des produits contenant des éléments numériques, la définition du formulaire simplifié de documentation adapté aux besoins des microentreprises et des petites entreprises, et la décision de mesures correctives ou restrictives au niveau de l’Union dans des circonstances exceptionnelles justifiant une intervention immédiate afin de préserver le bon fonctionnement du marché intérieur. Ces pouvoirs devraient être exercés conformément au règlement (UE) no 182/2011 du Parlement européen et du Conseil (32).
(119) Afin d’assurer une coopération confiante et constructive entre les autorités de surveillance du marché au niveau de l’Union et des États membres, toutes les parties concernées par l’application du présent règlement devraient respecter la confidentialité des informations et des données obtenues dans le cadre de l’exercice de leurs activités.
(120) Afin d’assurer l’application effective des obligations prévues par le présent règlement, chaque autorité de surveillance du marché devrait être habilitée à imposer des amendes ou à en demander l’imposition. Par conséquent, il convient également de fixer des plafonds pour les amendes à prévoir en droit national en cas de non-respect des obligations prévues par le présent règlement. Pour décider du montant de l’amende, il convient de prendre en compte, dans chaque cas, toutes les circonstances pertinentes de la situation concrète et, au minimum, les circonstances expressément prévues par le présent règlement, y compris si le fabricant est une microentreprise ou une petite ou moyenne entreprise, y compris une start-up, et si la même autorité de surveillance du marché ou d’autres autorités de surveillance du marché ont déjà infligé des amendes au même opérateur économique pour une infraction similaire. De telles circonstances pourraient être soit aggravantes, si l’infraction commise par le même opérateur économique se poursuit sur le territoire d’un État membre autre que celui où une amende a déjà été infligée, soit atténuantes, en veillant à ce que les sanctions infligées dans d’autres États membres et leur montant, ainsi que d’autres circonstances concrètes pertinentes, soient pris en compte lorsqu’une autre autorité de surveillance du marché envisage d’infliger une nouvelle amende pour le même opérateur économique ou le même type d’infraction. En tout état de cause, le montant total des amendes que les autorités de surveillance du marché de plusieurs États membres pourraient infliger au même opérateur économique pour le même type d’infraction devrait être conforme au principe de proportionnalité. Étant donné que des amendes ne sont pas infligées aux microentreprises ou aux petites entreprises pour non-respect du délai de notification précoce de 24 heures en cas de vulnérabilité activement exploitée ou d’incident de sécurité grave affectant la sécurité du produit contenant des éléments numériques, ni aux administrateurs de logiciels à code source libre pour violation du présent règlement, et sous réserve du principe selon lequel les sanctions doivent être efficaces, proportionnées et dissuasives, les États membres ne devraient pas imposer d’autres sanctions financières à ces entités.
(121) Lorsque des amendes sont infligées à une personne qui n’est pas une entreprise, l’autorité compétente devrait tenir compte du niveau général des revenus dans l’État membre concerné et de la situation économique des personnes pour déterminer le montant de l’amende. Les États membres devraient pouvoir déterminer si et dans quelle mesure des amendes peuvent être infligées aux autorités publiques.
(122) Les États membres devraient examiner, en tenant compte des circonstances nationales, la possibilité d’utiliser le produit des sanctions prévues par le présent règlement ou des recettes équivalentes pour soutenir les stratégies de cybersécurité et améliorer le niveau de cybersécurité dans l’Union, notamment en augmentant le nombre de professionnels qualifiés en cybersécurité, en renforçant les capacités des microentreprises et des petites et moyennes entreprises et en sensibilisant le public aux cybermenaces.
(123) Dans ses relations avec les pays tiers, l’Union cherche à promouvoir le commerce international de produits réglementés. Toute une série de mesures peuvent être appliquées pour faciliter les échanges, notamment différents instruments juridiques tels que les accords bilatéraux (intergouvernementaux) de reconnaissance mutuelle (ARM) sur l’évaluation de la conformité et l’étiquetage des produits réglementés. Les accords de reconnaissance mutuelle sont conclus entre l’Union et des pays tiers qui se trouvent à un niveau comparable de développement technique et dont l’approche de l’évaluation de la conformité est considérée comme compatible. Ces accords reposent sur la reconnaissance mutuelle des certificats, marques de conformité et rapports d’essais fournis par les organismes d’évaluation de la conformité de chaque partie conformément à la législation de l’autre partie. De tels accords de reconnaissance mutuelle existent actuellement avec plusieurs pays tiers. Ces accords sont conclus pour un certain nombre de secteurs spécifiques, qui peuvent varier d’un pays tiers à l’autre. Afin de faciliter davantage les échanges, et consciente du fait que les chaînes d’approvisionnement des produits numériques sont mondiales, l’Union peut conclure des accords de reconnaissance mutuelle en matière d’évaluation de la conformité pour les produits couverts par le présent règlement, conformément à l’article 218 du TFUE. Il est également important de coopérer avec les pays partenaires afin de renforcer la capacité de défense mondiale contre les cyberattaques, car cela contribuera à long terme au renforcement du cadre de cybersécurité, tant à l’intérieur qu’à l’extérieur de l’Union.
(124) Les consommateurs devraient pouvoir faire valoir leurs droits en ce qui concerne les obligations imposées aux opérateurs économiques en vertu du présent règlement par le biais d’actions collectives conformément à la directive (UE) 2020/1828 du Parlement européen et du Conseil (33). À cette fin, il convient que le présent règlement prévoie que la directive (UE) 2020/1828 s’applique aux actions collectives intentées pour des infractions au présent règlement qui portent atteinte ou sont susceptibles de porter atteinte aux intérêts collectifs des consommateurs. Il convient donc de modifier l’annexe I de ladite directive en conséquence. Il incombe aux États membres de veiller à ce que ces modifications se reflètent dans les mesures de transposition qu’ils adoptent conformément à ladite directive, bien que l’adoption de mesures nationales de transposition à cet effet ne soit pas une condition préalable à l’application de la directive à ces actions collectives. Ladite directive devrait s’appliquer, à compter du 11 décembre 2027, aux actions collectives intentées pour des infractions aux dispositions du présent règlement commises par des opérateurs économiques qui portent atteinte ou sont susceptibles de porter atteinte aux intérêts collectifs des consommateurs.
(125) La Commission devrait évaluer et réexaminer régulièrement le présent règlement, en consultation avec les parties prenantes concernées, notamment pour déterminer s’il convient de l’adapter à l’évolution des conditions sociales, politiques ou techniques, ou à l’évolution des conditions du marché. Le présent règlement facilite le respect des obligations en matière de sûreté de la chaîne d’approvisionnement par les entités relevant du champ d’application du règlement (UE) 2022/2554 et de la directive (UE) 2022/2555 qui utilisent des produits contenant des éléments numériques. Dans le cadre de ce réexamen périodique, la Commission devrait évaluer l’impact combiné du cadre de cybersécurité de l’Union.
(126) Il convient d’accorder aux opérateurs économiques un délai suffisant pour s’adapter aux exigences fixées par le présent règlement. Le présent règlement devrait s’appliquer à compter du 11 décembre 2027, à l’exception des obligations de notification des vulnérabilités activement exploitées et des incidents de sécurité graves affectant la sécurité des produits contenant des éléments numériques, qui devraient s’appliquer à compter du 11 septembre 2026, et des dispositions relatives à la notification des organismes d’évaluation de la conformité, qui devraient s’appliquer à compter du 11 juin 2026.
(127) Il est important d’aider les micro, petites et moyennes entreprises, y compris les jeunes pousses, à mettre en œuvre le présent règlement, à réduire au minimum les risques de mise en œuvre liés au manque de connaissances et d’expertise sur le marché et à aider les fabricants à respecter les obligations qui leur incombent en vertu du présent règlement. Le programme “Europe numérique” et d’autres programmes pertinents de l’Union fournissent une assistance financière et technique qui permet à ces entreprises de contribuer à la croissance de l’économie de l’Union et au renforcement du niveau commun de cybersécurité dans l’Union. Le Centre européen d’excellence pour la recherche en cybersécurité et les centres nationaux de coordination, ainsi que les centres européens d’innovation numérique créés par la Commission et les États membres au niveau de l’Union ou au niveau national, pourraient également soutenir les entreprises et les organismes du secteur public et contribuer à la mise en œuvre du présent règlement. Dans le cadre de leurs tâches et compétences respectives, ils pourraient fournir une assistance technique et scientifique aux micro, petites et moyennes entreprises, par exemple pour les activités d’essai et d’évaluation de la conformité par des tiers. Ils pourraient également encourager l’utilisation d’outils destinés à faciliter la mise en œuvre du présent règlement.
(128) En outre, les États membres devraient envisager de prendre des mesures complémentaires visant à fournir des orientations et un soutien aux micro, petites et moyennes entreprises, notamment par la mise en place de laboratoires réels et de canaux de communication ciblés. Afin de renforcer le niveau de cybersécurité dans l’Union, les États membres peuvent également envisager de soutenir le développement des capacités et des compétences en matière de cybersécurité des produits contenant des éléments numériques, d’améliorer la capacité des acteurs économiques à se défendre contre les cyberattaques, en particulier lorsqu’il s’agit de microentreprises et de petites et moyennes entreprises, et de sensibiliser le public à la cybersécurité des produits contenant des éléments numériques.
(129) Étant donné que l’objectif du présent règlement ne peut pas être réalisé de manière suffisante par les États membres, mais peut l’être mieux, en raison des effets de l’action, au niveau de l’Union, celle-ci peut prendre des mesures, conformément au principe de subsidiarité consacré à l’article 5 du traité sur l’Union européenne. Conformément au principe de proportionnalité tel qu’énoncé audit article, le présent règlement n’excède pas ce qui est nécessaire pour atteindre cet objectif.
(130) Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (34) et a rendu un avis le 9 novembre 2022 (35).
Chapitre I Dispositions générales
Article premier Objet
Le présent règlement établit ce qui suit :
a) des règles relatives à la mise à disposition sur le marché de produits contenant des éléments numériques, afin de garantir la cybersécurité de ces produits ;
b) les exigences de base en matière de cybersécurité applicables à la conception, au développement et à la fabrication de produits contenant des éléments numériques, ainsi que les obligations des opérateurs économiques concernant ces produits en matière de cybersécurité ;
c) des exigences essentielles de cybersécurité concernant les procédures de traitement des vulnérabilités établies par les fabricants afin de garantir la cybersécurité des produits contenant des éléments numériques pendant la durée de vie prévue des produits, ainsi que les obligations des opérateurs économiques concernant ces procédures ;
d) les dispositions relatives à la surveillance du marché, y compris le contrôle, et à l’application des règles et des exigences visées au présent article.
Article 2 Champ d’application
(1) Le présent règlement s’applique aux produits mis à disposition sur le marché qui comportent des éléments numériques dont la destination ou l’utilisation raisonnablement prévisible implique une connexion de données logique ou physique, directe ou indirecte, avec un équipement ou un réseau.
(2) Le présent règlement ne s’applique pas aux produits contenant des éléments numériques auxquels s’appliquent les actes législatifs de l’Union suivants :
a) Règlement (UE) 2017/745,
b) Règlement (UE) 2017/746,
c) Règlement (UE) 2019/2144.
(3) Le présent règlement ne s’applique pas aux produits contenant des éléments numériques qui ont été certifiés conformément au règlement (UE) 2018/1139.
(4) Le présent règlement ne s’applique pas aux équipements relevant du champ d’application de la directive 2014/90/UE du Parlement européen et du Conseil (36).
(5) L’application du présent règlement aux produits contenant des éléments numériques qui relèvent d’une autre législation de l’Union comportant des exigences pour tout ou partie des risques couverts par les exigences essentielles de cybersécurité énoncées à l’annexe I peut être limitée ou exclue si
a) qu’une telle limitation ou exclusion est compatible avec le cadre juridique général applicable à ces produits ; et
b) les règles sectorielles permettent d’atteindre le même niveau de protection que celui garanti par le présent règlement ou un niveau plus élevé.
La Commission se voit conférer le pouvoir d’adopter des actes délégués, conformément à l’article 61, afin de compléter le présent règlement en établissant la nécessité d’une telle restriction ou exclusion et en définissant, le cas échéant, les produits et règles concernés ainsi que la portée de la restriction.
(6) Le présent règlement ne s’applique pas aux pièces de rechange mises à disposition sur le marché pour remplacer des composants identiques dans des produits contenant des éléments numériques et qui sont fabriquées selon les mêmes spécifications que les composants qu’elles sont destinées à remplacer.
(7) Le présent règlement ne s’applique pas aux produits comportant des éléments numériques conçus ou modifiés exclusivement à des fins de sécurité nationale ou de défense, ni aux produits spécifiquement conçus pour le traitement d’informations classifiées.
(8) Les obligations prévues par le présent règlement n’incluent pas la fourniture d’informations dont la divulgation serait contraire aux intérêts essentiels des États membres en matière de sécurité nationale, de sécurité publique ou de défense.
Article 3 Définitions
Aux fins du présent règlement, on entend par
1.“produit contenant des éléments numériques”, un produit logiciel ou matériel et ses solutions de traitement de données à distance, y compris les composants logiciels ou matériels, mis séparément sur le marché ;
2.“traitement de données à distance” : traitement de données effectué à distance, pour lequel un logiciel est conçu et développé par le fabricant lui-même ou sous sa responsabilité, et sans lequel le produit numérique ne pourrait remplir l’une de ses fonctions ;
3.“cybersécurité”, la cybersécurité telle que définie à l’article 2, point 1, du règlement (UE) 2019/881 ;
4.“logiciel”, la partie d’un système d’information électronique qui consiste en un code informatique ;
5.“matériel”, un système d’information électronique physique capable de traiter, de stocker ou de transmettre des données numériques, ou des parties d’un tel système ;
6.“composant”, un logiciel ou un matériel destiné à être intégré dans un système d’information électronique ;
7.“système d’information électronique”, tout système, y compris les équipements électriques ou électroniques, capable de traiter, de stocker ou de transmettre des données numériques ;
8.“connexion logique”, une représentation virtuelle d’une connexion de données établie via une interface logicielle ;
9.“connexion physique”, une connexion entre des systèmes d’information électroniques ou des composants, établie par des moyens physiques tels que des interfaces électriques, optiques ou mécaniques, des fils ou des ondes radio ;
10.“connexion indirecte”, une connexion à un dispositif ou à un réseau qui n’est pas directe, mais qui fait partie d’un système plus vaste qui peut lui-même être connecté directement à ce dispositif ou à ce réseau ;
11.“point terminal”, un dispositif connecté à un réseau et servant de point d’accès à ce réseau ;
12.“opérateur économique”, le fabricant, le mandataire, l’importateur, le distributeur ou toute autre personne physique ou morale soumise à des obligations liées à la fabrication de produits numériques ou à la mise à disposition sur le marché de produits numériques conformément au présent règlement ;
13.“fabricant”, toute personne physique ou morale qui conçoit ou fabrique des produits intégrant des éléments numériques ou qui fait concevoir, développer ou fabriquer des produits intégrant des éléments numériques et les commercialise sous son nom ou sa marque, que ce soit à titre onéreux, à des fins de monétisation ou à titre gratuit ;
14.“gestionnaire de logiciels à source ouverte”, une personne morale, autre qu’un fabricant, qui a pour objet ou pour but de soutenir systématiquement et durablement le développement de produits spécifiques contenant des éléments numériques considérés comme des logiciels libres et à source ouverte et destinés à des activités commerciales, et qui assure l’utilité de ces produits ;
15.“mandataire” : toute personne physique ou morale résidant ou établie dans l’Union ayant reçu mandat écrit d’un fabricant pour agir en son nom aux fins de l’accomplissement de tâches déterminées ;
16.“importateur” : toute personne physique ou morale établie ou résidant dans l’Union qui met sur le marché de l’Union un produit contenant des éléments numériques sous le nom ou la marque d’une personne physique ou morale établie ou résidant en dehors de l’Union ;
17.“distributeur” : toute personne physique ou morale faisant partie de la chaîne d’approvisionnement, autre que le fabricant ou l’importateur, qui met à disposition sur le marché de l’Union un produit contenant des éléments numériques sans en modifier les caractéristiques
18.“consommateur” : toute personne physique qui agit à des fins qui n’entrent pas dans le cadre de son activité commerciale, industrielle, artisanale ou libérale ;
19.“microentreprise”, “petite entreprise” et “moyenne entreprise” : respectivement les microentreprises, les petites entreprises et les moyennes entreprises telles que définies à l’annexe de la recommandation 2003/361/CE ;
20.“période d’assistance” : la période pendant laquelle le fabricant doit veiller à ce que les vulnérabilités du produit contenant des éléments numériques soient traitées efficacement et conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II ;
21.“mise sur le marché” ou “mise en circulation” : la première mise à disposition d’un produit contenant des éléments numériques sur le marché de l’Union ;
22.“mise à disposition sur le marché” : la fourniture, à titre onéreux ou gratuit, d’un produit contenant des éléments numériques en vue de sa distribution ou de son utilisation sur le marché de l’Union dans le cadre d’une activité commerciale ;
23.“destination” : l’utilisation à laquelle un produit contenant des éléments numériques est destiné selon le fabricant, y compris les circonstances et conditions d’utilisation particulières, conformément aux indications du fabricant dans le mode d’emploi, le matériel publicitaire ou de vente et les déclarations, ainsi que dans la documentation technique ;
24.“utilisation raisonnablement prévisible” : une utilisation qui n’est pas nécessairement conforme à la destination indiquée par le fabricant dans le mode d’emploi, le matériel publicitaire ou de vente et les déclarations et la documentation technique, mais qui résulte probablement d’un comportement humain raisonnablement prévisible ou de phénomènes techniques ou d’interactions ;
25.“mauvaise utilisation raisonnablement prévisible” : l’utilisation d’un produit contenant des éléments numériques d’une manière non conforme à sa destination, mais qui peut résulter d’un comportement humain raisonnablement prévisible ou d’une interaction raisonnablement prévisible avec d’autres systèmes ;
26.“autorité notifiante” : l’autorité nationale chargée d’établir et de mettre en œuvre les procédures nécessaires à l’évaluation, à la désignation et à la notification des organismes d’évaluation de la conformité, ainsi qu’à leur contrôle ;
27.“évaluation de la conformité”, la procédure permettant de vérifier que les exigences essentielles de cybersécurité énoncées à l’annexe I sont respectées ;
28.“organisme d’évaluation de la conformité” : un organisme d’évaluation de la conformité au sens de l’article 2, point 13, du règlement (CE) no 765/2008.
29.“organisme notifié” : un organisme d’évaluation de la conformité désigné conformément à l’article 43 du présent règlement et à toute autre législation d’harmonisation pertinente de l’Union ;
30.“modification substantielle” : toute modification apportée au produit contenant des éléments numériques après sa mise sur le marché, qui a une incidence sur la conformité du produit aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, ou qui entraîne un changement de l’usage prévu pour lequel le produit a été testé ;
31.“marquage “CE””, un marquage par lequel un fabricant déclare qu’un produit contenant des éléments numériques et les procédures établies par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I et aux autres dispositions législatives d’harmonisation de l’Union applicables en matière d’apposition de celles-ci
32.“législation d’harmonisation de l’Union”, la législation de l’Union énumérée à l’annexe I du règlement (UE) 2019/1020 et toute autre législation de l’Union visant à harmoniser les conditions de commercialisation des produits auxquels ledit règlement s’applique ;
33.“autorité de surveillance du marché”, une autorité de surveillance du marché telle que définie à l’article 3, point 4, du règlement (UE) 2019/1020 ;
34.“norme internationale”, une norme internationale telle que définie à l’article 2, paragraphe 1, point a), du règlement (UE) n° 1025/2012 ;
35.“norme européenne”, une norme européenne telle que définie à l’article 2, point 1) b), du règlement (UE) no 1025/2012 ;
36.“norme harmonisée”, une norme harmonisée telle que définie à l’article 2, point 1) c), du règlement (UE) n° 1025/2012 ;
37.“risque de cybersécurité”, le potentiel de perte ou de perturbation causé par un incident de sécurité, exprimé comme une combinaison de l’ampleur de cette perte ou de cette perturbation et de la probabilité que l’incident de sécurité se produise ;
38.“risque important de cybersécurité”, un risque de cybersécurité qui, en raison de ses caractéristiques techniques, est susceptible de provoquer un incident de sécurité ayant des conséquences négatives graves et pouvant entraîner des pertes matérielles ou immatérielles importantes ou des perturbations ;
39.“nomenclature logicielle”, un enregistrement formel des détails et des relations de la chaîne d’approvisionnement des composants inclus dans les éléments logiciels d’un produit contenant des éléments numériques ;
40.“vulnérabilité” : une faiblesse, une vulnérabilité ou un dysfonctionnement d’un produit contenant des éléments numériques, qui peut être exploité en cas de cybermenace ;
41.“vulnérabilité exploitable”, une vulnérabilité qui peut être effectivement exploitée par un tiers non autorisé dans des conditions pratiques d’exploitation ;
42.“vulnérabilité activement exploitée”, une vulnérabilité pour laquelle il existe des preuves fiables qu’un acteur malveillant l’a exploitée dans un système sans le consentement du propriétaire du système ;
43.“incident de sécurité”, un incident de sécurité tel que défini à l’article 6, point 6), de la directive (UE) 2022/2555 ;
44.“incident de sécurité affectant la sécurité du produit numérique”, un incident de sécurité qui a ou peut avoir un effet négatif sur la capacité d’un produit numérique à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité des données ou des fonctions ;
45.“quasi-incident”, un quasi-incident tel que défini à l’article 6, point 5, de la directive (UE) 2022/2555 ;
46.“cybermenace”, une cybermenace telle que définie à l’article 2, point 8), du règlement (UE) 2019/881 ;
47.“données à caractère personnel”, les données à caractère personnel telles que définies à l’article 4, point 1, du règlement (UE) 2016/679 ;
48.“logiciel libre et à code source ouvert”, un logiciel dont le code source est partagé de manière ouverte et qui est mis à disposition dans le cadre d’une licence gratuite à code source ouvert prévoyant tous les droits nécessaires pour le rendre librement accessible, utilisable, modifiable et redistribuable ;
49.“rappel”, un rappel tel que défini à l’article 3, point 22, du règlement (UE) 2019/1020 ;
50.“retrait du marché” : un retrait du marché tel que défini à l’article 3, point 23, du règlement (UE) 2019/1020 ;
51.“CSIRT désigné comme coordonnateur”, un CSIRT désigné comme coordonnateur conformément à l’article 12, paragraphe 1, de la directive (UE) 2022/2555.
Article 4 Libre circulation
(1) Pour les aspects couverts par le présent règlement, les États membres n’entravent pas la mise à disposition sur le marché de produits contenant des éléments numériques conformes au présent règlement.
(2) Les États membres n’empêchent pas la présentation ou l’utilisation d’un produit contenant des éléments numériques qui ne sont pas conformes au présent règlement lors de foires commerciales, d’expositions, de démonstrations ou d’événements similaires, y compris les prototypes, à condition que le produit porte une marque visible indiquant clairement qu’il n’est pas conforme au présent règlement et qu’il ne peut pas être mis à disposition sur le marché tant qu’il ne l’a pas été.
(3) Les États membres n’empêchent pas la mise à disposition sur le marché de logiciels non finalisés qui ne sont pas conformes au présent règlement, à condition que ces logiciels ne soient mis à disposition que pour une durée limitée, nécessaire aux essais, et qu’ils indiquent clairement, par un marquage visible, qu’ils ne sont pas conformes au présent règlement et qu’ils ne seront pas disponibles sur le marché, sauf à des fins d’essai.
(4) Le paragraphe 3 ne s’applique pas aux composants de sécurité visés par la législation d’harmonisation de l’Union autre que le présent règlement.
Article 5 Achat ou utilisation de produits contenant des éléments numériques
(1) Le présent règlement n’empêche pas les États membres de soumettre les produits contenant des éléments numériques à des exigences de cybersécurité supplémentaires lors de l’acquisition ou de l’utilisation de ces produits à des fins spécifiques, même si ces produits sont acquis ou utilisés à des fins de sécurité ou de défense nationales, à condition que ces exigences soient conformes aux obligations des États membres prévues par le droit de l’Union et qu’elles soient nécessaires et proportionnées à la réalisation de ces objectifs.
(2) Sans préjudice des directives 2014/24/UE et 2014/25/UE, lorsqu’ils se procurent des produits contenant des éléments numériques relevant du champ d’application du présent règlement, les États membres veillent à ce que la conformité aux exigences essentielles de cybersécurité énoncées à l’annexe I du présent règlement, y compris la capacité des fabricants à gérer efficacement les vulnérabilités, soit prise en compte dans la procédure de passation de marché.
Article 6 Exigences applicables aux produits contenant des éléments numériques
Les produits contenant des éléments numériques ne sont mis à disposition sur le marché que si
a) ils satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et à condition qu’ils soient correctement installés, entretenus et utilisés conformément à leur destination ou dans des circonstances raisonnablement prévisibles et, le cas échéant, que les mises à jour de sécurité nécessaires aient été installées ; et
b) les procédures établies par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
Article 7 Principaux produits contenant des éléments numériques
(1) Les produits intégrant des éléments numériques qui assurent les fonctions essentielles d’une catégorie de produits figurant à l’annexe III sont considérés comme des produits intégrant des éléments numériques importants et sont soumis aux procédures d’évaluation de la conformité visées à l’article 32, paragraphes 2 et 3. L’intégration d’un produit doté d’éléments numériques qui présente les fonctionnalités essentielles d’une catégorie de produits énumérée à l’annexe III n’entraîne pas, en soi, la soumission du produit auquel il est intégré aux procédures d’évaluation de la conformité visées à l’article 32, paragraphes 2 et 3.
(2) Les catégories de dispositifs contenant des éléments numériques visées au paragraphe 1 du présent article, qui sont réparties en classes I et II conformément à l’annexe III, satisfont à au moins un des critères suivants :
a) Le produit contenant des éléments numériques remplit principalement des fonctions essentielles à la cybersécurité d’autres produits, réseaux ou services, notamment la sécurisation de l’authentification et de l’accès, la prévention et la détection des intrusions, la sécurité des points finaux ou la protection du réseau ;
b) le produit contenant des éléments numériques remplit une fonction qui entraîne un risque important d’effets négatifs en termes d’intensité et de capacité à perturber, contrôler ou endommager un grand nombre d’autres produits ou la santé, la sécurité ou la sûreté de ses utilisateurs par une manipulation directe, telle qu’une fonction centrale du système, y compris la gestion du réseau, le contrôle de la configuration, la virtualisation ou le traitement de données à caractère personnel.
(3) La Commission se voit conférer le pouvoir d’adopter des actes délégués, conformément à l’article 61, en ce qui concerne la modification de l’annexe III afin d’ajouter une nouvelle catégorie à la liste et d’en préciser la définition, de déplacer une catégorie de produits d’une classe à une autre ou de supprimer une catégorie existante de cette liste, à l’intérieur de chaque classe de catégories de produits contenant des éléments numériques. Lorsqu’elle évalue la nécessité de modifier la liste figurant à l’annexe III, la Commission tient compte des fonctions liées à la cybersécurité ou de la fonction et du niveau de risque de cybersécurité posés par les produits contenant des éléments numériques, conformément aux critères énoncés au paragraphe 2 du présent article.
Les actes délégués visés au premier alinéa prévoient, le cas échéant, une période de transition d’au moins douze mois, notamment lorsqu’une nouvelle catégorie de dispositifs importants contenant des éléments numériques de classe I ou II, tels que définis à l’annexe III, est ajoutée ou transférée de la classe I à la classe II avant l’application des procédures pertinentes d’évaluation de la conformité visées à l’article 32, paragraphes 2 et 3, à moins qu’une période de transition plus courte ne soit justifiée par des raisons d’urgence impérieuses.
(4) Au plus tard le 11 décembre 2025, la Commission adopte un acte d’exécution établissant la description technique des catégories de dispositifs intégrant des éléments numériques appartenant aux classes I et II conformément à l’annexe III et la description technique des catégories de dispositifs intégrant des éléments numériques conformément à l’annexe IV. Cet acte d’exécution est adopté conformément à la procédure d’examen visée à l’article 62, paragraphe 2.
Article 8 Produits critiques contenant des éléments numériques
(1) La Commission se voit conférer le pouvoir d’adopter des actes délégués, conformément à l’article 61, afin de compléter le présent règlement, en vue de déterminer les produits contenant des éléments numériques qui présentent les fonctions essentielles d’une catégorie de produits énumérée à l’annexe IV du présent règlement qui doivent obtenir un certificat européen de cybersécurité d’un niveau de confiance au moins “moyen” dans le cadre d’un schéma européen de certification de la cybersécurité adopté conformément au règlement (UE) 2019/881, pour démontrer la conformité aux exigences essentielles de cybersécurité énoncées à l’annexe I du présent règlement ou à des parties de celles-ci, pour autant qu’un schéma européen de certification de la cybersécurité pour ces catégories de produits contenant des éléments numériques ait été adopté conformément au règlement (UE) 2019/881 et soit à la disposition des fabricants. Ces actes délégués définissent le niveau de confiance requis, qui doit être proportionnel au niveau de risque de cybersécurité associé aux produits contenant des éléments numériques et tenir compte de leur finalité, y compris la dépendance critique à leur égard de la part d’entités essentielles, conformément à l’article 3, paragraphe 1, de la directive (UE) 2022/2555.
Avant d’adopter ces actes délégués, la Commission procède à une évaluation de l’incidence potentielle des mesures envisagées sur le marché et consulte les parties prenantes concernées, y compris le groupe européen sur la certification en matière de cybersécurité institué par le règlement (UE) 2019/881. L’évaluation tient compte de l’état de préparation et de la capacité des États membres à mettre en œuvre le schéma européen pertinent de certification de la cybersécurité. En l’absence d’actes délégués visés au premier alinéa, les produits intégrant des éléments numériques qui présentent des fonctions essentielles d’une catégorie de produits visée à l’annexe IV sont soumis aux procédures d’évaluation de la conformité visées à l’article 32, paragraphe 3. Les actes délégués visés au premier alinéa prévoient une période de transition d’au moins six mois, à moins qu’une période de transition plus courte ne soit justifiée par des raisons d’urgence impérieuses.
(2) La Commission se voit conférer le pouvoir d’adopter des actes délégués, conformément à l’article 61, aux fins de la modification de l’annexe IV en vue d’ajouter ou de supprimer des catégories de produits critiques contenant des éléments numériques. Lorsqu’elle établit ces catégories de produits critiques contenant des éléments numériques et le niveau de confiance requis conformément au paragraphe 1, la Commission tient compte des critères visés à l’article 7, paragraphe 2, et veille à ce que la catégorie de produits contenant des éléments numériques réponde à au moins un des critères suivants :
a) Il existe une dépendance critique des dispositifs essentiels visés à l’article 3 de la directive (UE) 2022/2555 à l’égard de la catégorie des produits contenant des éléments numériques ;
b) Les incidents de sécurité et les vulnérabilités exploitées concernant la catégorie des produits contenant des éléments numériques pourraient entraîner de graves perturbations des chaînes d’approvisionnement critiques dans l’ensemble du marché intérieur.
Avant d’adopter ces actes délégués, la Commission procède à une évaluation du type visé au paragraphe 1. Les actes délégués visés au premier alinéa prévoient une période de transition d’au moins six mois, à moins qu’une période de transition plus courte ne soit justifiée par des raisons d’urgence impérieuses.
Article 9 Consultation des parties prenantes
(1) Lorsqu’elle prépare les mesures d’application du présent règlement, la Commission consulte les parties prenantes concernées, telles que les autorités compétentes des États membres, les entreprises du secteur privé, y compris les micro, petites et moyennes entreprises, la communauté des logiciels à source ouverte, les associations de consommateurs, les universités et les agences et organes compétents de l’Union, ainsi que les groupes d’experts créés au niveau de l’Union, et tient compte de leur avis. En particulier, la Commission consulte ces parties prenantes et recueille leur avis, le cas échéant, de la manière structurée suivante, dans les cas suivants :
a) lors de l’élaboration des lignes directrices visées à l’article 26 ;
b) sans préjudice de l’article 61, lors de l’élaboration des descriptions techniques des catégories de produits énumérées à l’annexe III, conformément à l’article 7, paragraphe 4, lors de l’évaluation de la nécessité de mettre à jour la liste des catégories de produits, conformément à l’article 7, paragraphe 3, et à l’article 8, paragraphe 2, ou lors de la réalisation de l’évaluation de l’impact potentiel sur le marché, conformément à l’article 8, paragraphe 1 ;
c) dans la réalisation des travaux préparatoires à l’évaluation et au réexamen du présent règlement.
(2) La Commission organise régulièrement, au moins une fois par an, des réunions de consultation et d’information afin de recueillir le point de vue des parties intéressées visées au paragraphe 1 sur la mise en œuvre du présent règlement.
Article 10 Renforcement des compétences dans un environnement numérique doté de capacités de cyberdéfense
Aux fins du présent règlement et afin de répondre aux besoins des professionnels en matière d’aide à la mise en œuvre du présent règlement, les États membres, avec l’aide, le cas échéant, de la Commission, du Centre européen d’expertise en cybersécurité et de l’ENISA, dans le plein respect des responsabilités des États membres en matière d’éducation, encouragent les actions et les politiques visant à
a) développer les compétences en matière de cybersécurité et mettre en place des outils organisationnels et technologiques afin de garantir une disponibilité suffisante de professionnels qualifiés pour soutenir les activités des autorités de surveillance du marché et des organismes d’évaluation de la conformité ;
b) renforcer la coopération entre le secteur privé et les acteurs économiques, notamment par le recyclage ou la formation des employés des fabricants, des consommateurs, des établissements de formation et des administrations publiques, afin d’offrir aux jeunes davantage de possibilités d’accéder à des emplois dans le secteur de la cybersécurité.
Article 11 Sécurité générale des produits
Par dérogation à l’article 2, paragraphe 1, troisième alinéa, point b), du règlement (UE) 2023/988 , le chapitre III, section 1, les chapitres V et VII et les chapitres IX à XI dudit règlement s’appliquent aux produits intégrant des éléments numériques en ce qui concerne les aspects et les risques ou les catégories de risques qui ne sont pas couverts par le présent règlement, à condition que ces produits ne soient pas soumis à des exigences de sécurité spécifiques prévues par d’autres “législations d’harmonisation de l’Union” au sens de l’article 3, point 27, du règlement (UE) 2023/988 .
Article 12 Systèmes d’intelligence artificielle à haut risque
(1) Sans préjudice des exigences en matière de précision et de robustesse visées à l’article 15 du règlement (UE) 2024/1689, les produits contenant des éléments numériques relevant du champ d’application du présent règlement qui sont considérés comme des systèmes d’intelligence artificielle à haut risque conformément à l’article 6 dudit règlement sont réputés conformes aux exigences en matière de cybersécurité visées à l’article 15 dudit règlement si
a) ces produits satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I ;
b) les procédures établies par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II ; et
c) la réalisation du niveau de cybersécurité requis par l’article 15 du règlement (UE) 2024/1689 est attestée dans la déclaration UE de conformité délivrée conformément au présent règlement.
(2) La procédure pertinente d’évaluation de la conformité prévue à l’article 43 du règlement (UE) 2024/1689 s’applique aux produits visés au paragraphe 1 qui comportent des éléments numériques et des exigences de cybersécurité. Aux fins de cette évaluation, les organismes notifiés chargés de contrôler la conformité des systèmes d’IA à haut risque en vertu du règlement (UE) 2024/1689 sont également chargés de contrôler, en vertu du présent règlement, la conformité des systèmes d’IA à haut risque avec les exigences énoncées à l’annexe I du présent règlement, à condition que la procédure de notification menée conformément au règlement (UE) 2024/1689 ait permis de vérifier que ces organismes notifiés satisfont aux exigences énoncées à l’article 39 du présent règlement.
(3) Par dérogation au paragraphe 2 du présent article, les produits essentiels contenant des éléments numériques énumérés à l’annexe III du présent règlement qui sont soumis aux procédures d’évaluation de la conformité visées à l’article 32, paragraphe 2, points a) et b), et à l’article 32, paragraphe 3, du présent règlement, ainsi que les produits critiques contenant des éléments numériques énumérés à l’annexe IV du présent règlement qui doivent obtenir un certificat européen de cybersécurité conformément à l’article 8, paragraphe 1, du présent règlement ou, en l’absence d’un tel certificat, qui sont soumis aux procédures d’évaluation de la conformité visées à l’article 32, paragraphe 3, du présent règlement, et également classés comme systèmes d’intelligence artificielle à haut risque conformément à l’article 6 du règlement (UE) 2024/1689 et soumis à la procédure d’évaluation de la conformité sur la base d’un contrôle interne conformément à l’annexe VI du règlement (UE) 2024/1689, sont soumis aux procédures d’évaluation de la conformité prévues par le présent règlement, dans la mesure où cela concerne les exigences essentielles de cybersécurité définies dans le présent règlement.
(4) Les fabricants de produits comportant des éléments numériques visés au paragraphe 1 peuvent participer aux laboratoires de recherche sur l’IA visés à l’article 57 du règlement (UE) 2024/1689.
Chapitre II Obligations des opérateurs économiques et dispositions relatives aux logiciels libres et à code source ouvert
Article 13 Obligations des producteurs
(1) Lorsqu’ils mettent sur le marché un produit contenant des éléments numériques, les fabricants veillent à ce que ce produit soit conçu, développé et fabriqué conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I. Ils veillent également à ce que le produit soit conforme à ces exigences.
(2) Aux fins du respect du paragraphe 1, les fabricants procèdent à une évaluation des risques de cybersécurité que présente un produit numérique et tiennent compte du résultat de cette évaluation lors des phases de planification, de conception, de développement, de fabrication, de livraison et d’entretien du produit numérique, afin de réduire au minimum les risques de cybersécurité, de prévenir les incidents de sécurité et de minimiser l’impact de ces incidents, y compris sur la santé et la sécurité des utilisateurs.
(3) L’évaluation du risque de cybersécurité est documentée et, le cas échéant, mise à jour pendant une période de soutien à déterminer conformément au paragraphe 8. Cette évaluation du risque de cybersécurité comprend au minimum une analyse des risques de cybersécurité fondée sur la destination et l’utilisation raisonnablement prévisible du produit contenant des éléments numériques, tels que l’environnement d’exploitation ou les installations à protéger, en tenant compte de la durée de vie utile prévue du produit. L’évaluation du risque de cybersécurité indique si et, le cas échéant, comment les exigences de sécurité visées à l’annexe I, partie I, point 2, s’appliquent au produit numérique concerné et comment ces exigences sont mises en œuvre sur la base de l’évaluation du risque de cybersécurité. Il indique également la manière dont le fabricant doit appliquer l’annexe I, partie I, point 1, et les exigences relatives au traitement des vulnérabilités énoncées à l’annexe I, partie II.
(4) Lorsqu’il met sur le marché un produit contenant des éléments numériques, le fabricant inclut l’évaluation des risques de cybersécurité visée au paragraphe 3 dans la documentation technique requise en vertu de l’article 31 et de l’annexe VII. Dans le cas des produits contenant des éléments numériques visés à l’article 12 qui sont également soumis à d’autres législations de l’Union, l’évaluation des risques liés à la cybersécurité peut également faire partie des évaluations des risques exigées par les législations de l’Union concernées. Lorsque certaines exigences essentielles de cybersécurité ne s’appliquent pas au produit numérique, le fabricant en donne une justification claire dans la documentation technique.
(5) Aux fins du respect de l’obligation prévue au paragraphe 1, les fabricants font preuve de la diligence requise lorsqu’ils intègrent dans leurs produits numériques des composants obtenus auprès de tiers, de sorte que ces composants ne compromettent pas la cybersécurité du produit numérique, y compris lorsqu’ils intègrent des logiciels libres et à code source ouvert qui n’ont pas été mis à disposition sur le marché dans le cadre d’une activité commerciale.
(6) Dès qu’ils constatent une vulnérabilité dans un composant intégré au produit numérique, y compris un composant à source ouverte, les fabricants notifient cette vulnérabilité à la personne ou à l’entité qui fabrique ou entretient ce composant et traitent et corrigent cette vulnérabilité conformément aux exigences en matière de traitement des vulnérabilités énoncées à l’annexe I, partie II. Si les fabricants ont mis au point une modification logicielle ou matérielle pour remédier à la vulnérabilité de ce composant, ils communiquent le code ou la documentation pertinents à la personne ou à l’organisme qui fabrique ou entretient le composant, le cas échéant dans un format lisible par machine.
(7) Le fabricant documente systématiquement et d’une manière appropriée à la nature des risques de cybersécurité tous les aspects pertinents de la cybersécurité du produit contenant des éléments numériques, y compris les vulnérabilités dont il a connaissance et toute information pertinente fournie par des tiers, et met à jour, le cas échéant, l’évaluation des risques de cybersécurité du produit.
(8) Lorsqu’ils mettent sur le marché un produit contenant des éléments numériques et pendant la durée de vie prévue du produit et la période de soutien, les fabricants veillent à ce que les vulnérabilités de ce produit, y compris de ses composants, soient traitées efficacement et conformément aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
Les fabricants déterminent la période de support de manière à ce qu’elle reflète la durée d’utilisation prévue du produit, en tenant compte, en particulier, des attentes raisonnables des utilisateurs, de la nature du produit, y compris sa destination, et de la législation pertinente de l’Union fixant la durée de vie des produits intégrant des éléments numériques. Pour déterminer la période de soutien, les fabricants peuvent également tenir compte des périodes de soutien pour les produits intégrant des éléments numériques qui ont une fonction similaire et qui sont mis sur le marché par d’autres fabricants, de la disponibilité de l’environnement d’exploitation, des périodes de soutien pour les composants intégrés assurant des fonctions essentielles et achetés auprès de tiers, ainsi que des orientations pertinentes du groupe spécial de coopération administrative (ADCO) institué en vertu de l’article 52, paragraphe 15, et de la Commission. Les éléments à prendre en considération pour déterminer la période de soutien sont pris en compte de manière à garantir la proportionnalité. Sans préjudice du deuxième alinéa, la période de soutien est d’au moins cinq ans. Si l’on estime que le produit contenant des éléments numériques sera en service pendant moins de cinq ans, la période de soutien doit correspondre à la durée d’utilisation prévue. Compte tenu des recommandations de l’ADCO visées à l’article 52, paragraphe 16, la Commission peut adopter des actes délégués conformément à l’article 61 afin de compléter le présent règlement en fixant la période minimale de soutien pour certaines catégories de produits lorsque les données de surveillance du marché indiquent des périodes de soutien inadéquates. Les fabricants incluent dans la documentation technique visée à l’annexe VII les informations prises en compte pour déterminer la période de soutien d’un produit contenant des éléments numériques. Les fabricants mettent en place des politiques et des procédures appropriées, y compris une politique de divulgation coordonnée des vulnérabilités conformément à l’annexe I, partie II, point 5, afin de traiter et de corriger les vulnérabilités potentielles du produit intégrant des éléments numériques signalées par des sources internes ou externes.
(9) Les fabricants veillent à ce que toute mise à jour de sécurité visée à l’annexe I, partie II, point 8, qui a été mise à la disposition des utilisateurs pendant la période d’assistance, reste disponible après sa mise à disposition pendant au moins dix ans ou pendant la durée restante de la période d’assistance, si celle-ci est plus longue.
(10) Lorsqu’un fabricant a mis sur le marché des versions successives substantiellement modifiées d’un produit logiciel, il peut limiter l’assurance de la conformité à l’exigence essentielle de cybersécurité énoncée à l’annexe I, partie II, point 2, à la version que le fabricant a mise sur le marché en dernier lieu, à condition que les utilisateurs de la version précédemment mise sur le marché aient accès gratuitement à la dernière version mise sur le marché et qu’ils n’aient pas à supporter de coûts supplémentaires pour adapter l’environnement matériel et logiciel dans lequel ils utilisent la version originale de ce produit.
(11) Les fabricants peuvent gérer des archives publiques de logiciels qui facilitent l’accès des utilisateurs aux versions historiques. Dans ce cas, les utilisateurs sont informés clairement et de manière facilement accessible des risques liés à l’utilisation de logiciels non pris en charge.
(12) Avant de mettre un produit contenant des éléments numériques sur le marché, les fabricants établissent la documentation technique visée à l’article 31.
Ils mettent ou font mettre en œuvre les procédures d’évaluation de la conformité choisies conformément à l’article 32. Lorsque cette procédure d’évaluation de la conformité a démontré que le produit contenant des éléments numériques est conforme aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et que les procédures établies par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II, les fabricants établissent la déclaration UE de conformité visée à l’article 28 et apposent le marquage CE conformément à l’article 30.
(13) Les fabricants conservent la documentation technique et la déclaration de conformité UE à l’intention des autorités de surveillance du marché pendant au moins dix ans après la mise sur le marché du produit numérique ou pendant la durée de la période d’assistance, la période la plus longue étant retenue.
(14) Les fabricants s’assurent, par des procédures appropriées, que les produits intégrant des éléments numériques restent conformes au présent règlement lorsqu’ils sont fabriqués en série. Les fabricants tiennent dûment compte des modifications éventuelles du processus de conception et de fabrication ou de la conception ou des caractéristiques du produit numérique, ainsi que des modifications des normes harmonisées, des schémas européens de certification de la cybersécurité ou des spécifications communes visées à l’article 27, qui ont été utilisés pour déclarer la conformité du produit numérique ou pour vérifier sa conformité.
(15) Les fabricants veillent à ce que leurs produits contenant des éléments numériques portent un numéro de type, de lot ou de série ou tout autre élément permettant de les identifier ou, si cela n’est pas possible, à ce que ces informations figurent sur l’emballage ou dans la documentation accompagnant le produit contenant des éléments numériques.
(16) Les fabricants indiquent le nom, le nom commercial enregistré ou la marque déposée du fabricant, l’adresse postale, l’adresse électronique ou d’autres coordonnées numériques et, le cas échéant, le site web sur lequel le fabricant peut être contacté, soit sur le produit numérique lui-même, soit, si cela n’est pas possible, sur l’emballage ou dans la documentation accompagnant le produit numérique. Ces informations sont également incluses dans les informations et les instructions fournies aux utilisateurs conformément à l’annexe II. Les coordonnées sont rédigées dans une langue aisément compréhensible par les utilisateurs et les autorités de surveillance du marché.
(17) Aux fins du présent règlement, les fabricants désignent un point de contact unique permettant aux utilisateurs de communiquer directement et rapidement avec eux, notamment pour faciliter la notification des points faibles du produit contenant des éléments numériques.
Les fabricants veillent à ce que le point de contact unique puisse être facilement identifié par les utilisateurs. Ils incluent également le point de contact unique dans les informations et les instructions destinées aux utilisateurs, conformément à l’annexe II. Le guichet unique permet aux utilisateurs de choisir leur moyen de communication préféré, sans que ce moyen soit limité aux instruments automatisés.
(18) Les fabricants veillent à ce que les dispositifs numériques soient accompagnés des informations et instructions destinées à l’utilisateur, visées à l’annexe II, sur support papier ou électronique. Ces informations et instructions doivent être fournies dans une langue aisément compréhensible par les utilisateurs et les autorités de surveillance du marché. Elles doivent être claires, compréhensibles, explicites et lisibles. Elles doivent permettre une installation, un fonctionnement et une utilisation sûrs des produits contenant des éléments numériques. Les fabricants mettent les informations et les instructions destinées aux utilisateurs, visées à l’annexe II, à la disposition des utilisateurs après la mise sur le marché du produit numérique pendant au moins dix ans ou pendant la durée de la période d’assistance, si celle-ci est plus longue. Lorsque ces informations et instructions sont fournies en ligne, les fabricants veillent à ce qu’elles soient accessibles, faciles à utiliser et disponibles en ligne pendant au moins dix ans après la mise sur le marché du produit intégrant des éléments numériques ou pendant la période de soutien, si celle-ci est plus longue.
(19) Les fabricants veillent à ce que la date de fin de la période de soutien visée au paragraphe 8 soit indiquée de manière claire et compréhensible, au moment de l’achat, de façon aisément accessible et, le cas échéant, sur le produit au moyen d’éléments numériques, sur son emballage ou par des moyens numériques, en précisant au moins le mois et l’année.
Lorsque cela est techniquement possible compte tenu de la nature du produit numérique, les fabricants affichent une notification aux utilisateurs pour les informer que la période de soutien de leur produit numérique est arrivée à son terme.
(20) Les fabricants joignent au produit contenant des éléments numériques soit une copie de la déclaration de conformité UE, soit une déclaration de conformité UE simplifiée. Si seule une déclaration de conformité UE simplifiée est fournie, elle doit indiquer l’adresse internet exacte à laquelle la déclaration de conformité UE complète peut être consultée.
(21) Dès la mise sur le marché et pendant la période de soutien, les fabricants qui savent ou ont des raisons de croire que le produit numérique ou les processus définis par le fabricant ne sont pas conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I prennent immédiatement les mesures correctives nécessaires pour mettre ce produit numérique ou les processus du fabricant en conformité ou, le cas échéant, pour retirer le produit du marché ou le rappeler.
(22) Sur demande motivée de l’autorité de surveillance du marché, les fabricants lui communiquent, sur support papier ou sous forme électronique, dans une langue aisément compréhensible par cette autorité, toutes les informations et tous les documents nécessaires pour démontrer la conformité du produit numérique et des procédures établies par le fabricant avec les exigences essentielles en matière de cybersécurité énoncées à l’annexe I. Les fabricants coopèrent avec cette autorité, à la demande de celle-ci, à toute mesure visant à prévenir les risques de cybersécurité présentés par un produit intégrant des éléments numériques qu’ils ont mis sur le marché.
(23) Tout fabricant qui cesse ses activités et qui, par conséquent, n’est pas en mesure de se conformer au présent règlement en informe, avant la prise d’effet de la cessation, les autorités de surveillance du marché concernées et, par tous les moyens disponibles et dans la mesure du possible, les utilisateurs des produits numériques concernés mis sur le marché.
(24) La Commission peut, au moyen d’actes d’exécution, définir le format et les éléments de la nomenclature logicielle visée à l’annexe I, partie II, point 1, en tenant compte des normes européennes ou internationales et des meilleures pratiques. Ces actes d’exécution sont adoptés conformément à la procédure d’examen visée à l’article 62, paragraphe 2.
(25) Afin d’évaluer la dépendance des États membres et de l’Union dans son ensemble vis-à-vis des composants logiciels, et en particulier des composants considérés comme des logiciels libres et à code source ouvert, ADCO peut décider de procéder à une évaluation de la dépendance à l’échelle de l’Union pour certaines catégories de produits contenant des éléments numériques. cette fin, les autorités de surveillance du marché peuvent demander aux fabricants de ces catégories de produits contenant des éléments numériques de fournir les nomenclatures de logiciels correspondantes, conformément à l’annexe I, partie II, point 1. Sur la base de ces informations, les autorités de surveillance du marché peuvent fournir à ADCO des informations anonymes et agrégées sur les dépendances logicielles. L’ADCO présente un rapport sur les résultats de l’évaluation des dépendances au groupe de coopération institué en vertu de l’article 14 de la directive (UE) 2022/2555.
Article 14 Obligations de notification des fabricants
(1) Tout fabricant notifie simultanément au CSIRT, désigné comme coordinateur conformément au paragraphe 7, et à l’ENISA toute vulnérabilité activement exploitée dont il a connaissance et qui est présente dans le produit contenant des éléments numériques. Le fabricant notifie cette vulnérabilité activement exploitée par l’intermédiaire de la plate-forme de notification unique établie conformément à l’article 16.
(2) Aux fins de la notification visée au paragraphe 1, le fabricant fournit les éléments suivants :
a) dans les meilleurs délais et, en tout état de cause, dans les 24 heures suivant la date à laquelle le fabricant en a eu connaissance, une alerte rapide concernant une vulnérabilité activement exploitée, en précisant les États membres sur le territoire desquels, à sa connaissance, le produit contenant des éléments numériques du fabricant a été mis à disposition ;
b) si les informations pertinentes n’ont pas déjà été fournies, dans les meilleurs délais et, en tout état de cause, dans les 72 heures suivant la prise de connaissance par le fabricant de la vulnérabilité activement exploitée, une notification de vulnérabilité contenant des informations générales, si elles sont disponibles, sur le produit numérique concerné, sur la nature générale de l’exploitation et sur la vulnérabilité en question, ainsi que sur toute mesure corrective ou d’atténuation des risques prise et sur toute mesure corrective ou d’atténuation que les utilisateurs peuvent prendre, en précisant, le cas échéant, le degré de sensibilité que le fabricant estime avoir pour les informations notifiées ;
c) si les informations pertinentes n’ont pas encore été fournies, un rapport final contenant au moins les éléments suivants, au plus tard quatorze jours après qu’une mesure corrective ou une mesure de réduction des risques a été mise à disposition :
i) une description de la vulnérabilité, y compris de sa gravité et de son impact,
ii) si elles sont disponibles, des informations sur tout acteur malveillant qui a exploité ou exploite la vulnérabilité,
iii) des informations sur la mise à jour de sécurité ou toute autre mesure corrective fournie pour corriger la vulnérabilité.
(3) Un fabricant notifie tout incident de sécurité grave affectant la sécurité du produit numérique dont il a connaissance simultanément au CSIRT désigné comme coordinateur conformément au paragraphe 7 et à l’ENISA. Le fabricant notifie cet incident de sécurité au moyen de la plate-forme de notification unique établie conformément à l’article 16.
(4) Aux fins de la notification visée au paragraphe 3, le fabricant fournit les éléments suivants :
a) sans retard et, en tout état de cause, dans les 24 heures après que le fabricant en a eu connaissance, une alerte rapide relative à un incident de sécurité grave affectant la sécurité du produit numérique, en indiquant au moins s’il y a lieu de suspecter que l’incident de sécurité résulte d’un acte illicite ou malveillant et, le cas échéant, en précisant les États membres sur le territoire desquels le produit numérique du fabricant a été, à sa connaissance, mis à disposition ;
b) si les informations pertinentes n’ont pas déjà été communiquées, dans les meilleurs délais et, en tout état de cause, dans les 72 heures suivant la prise de connaissance de l’incident de sécurité par le fabricant, une notification de l’incident de sécurité contenant des informations générales, si elles sont disponibles, sur la nature de l’incident de sécurité, une première évaluation de l’incident de sécurité, les mesures correctives ou de réduction des risques prises et les mesures correctives ou correctrices que les utilisateurs peuvent prendre, et précisant, le cas échéant, le degré de sensibilité que le fabricant accorde aux informations notifiées ;
c) si les informations pertinentes n’ont pas encore été transmises, un rapport final contenant au moins les éléments suivants, dans un délai d’un mois à compter de la transmission de la notification de l’incident de sécurité visée au point b) :
i) une description détaillée de l’incident de sécurité, y compris sa gravité et ses conséquences ;
ii) Informations sur la nature de la menace ou de la cause sous-jacente susceptible d’avoir déclenché l’incident de sécurité ;
iii) des informations sur les mesures correctives prises et en cours.
(5) Aux fins du paragraphe 3, un incident de sécurité ayant des conséquences sur la sécurité du produit numérique est considéré comme grave si
a) il a ou peut avoir un effet négatif sur la capacité d’un produit contenant des éléments numériques à protéger la disponibilité, l’authenticité, l’intégrité ou la confidentialité de données ou de fonctions sensibles ou importantes ; ou
b) il a entraîné ou est susceptible d’entraîner l’introduction ou l’exécution d’un code malveillant dans un produit contenant des éléments numériques ou dans le réseau et le système d’information d’un utilisateur du produit contenant des éléments numériques.
(6) Si nécessaire, le CSIRT désigné comme coordinateur qui reçoit initialement la notification peut demander aux fabricants de présenter un rapport intermédiaire sur les mises à jour pertinentes de l’état de la vulnérabilité activement exploitée ou de l’incident de sécurité grave qui affecte la sécurité du produit contenant des éléments numériques.
(7) Les notifications visées aux paragraphes 1 et 3 du présent article sont transmises via la plate-forme de notification unique visée à l’article 16, en utilisant l’un des points de terminaison de la notification électronique visés à l’article 16, paragraphe 1. La notification est transmise via le point de terminaison de la notification électronique du CSIRT désigné comme coordinateur de l’État membre dans lequel les fabricants ont leur principal établissement dans l’Union, tout en étant accessible à l’ENISA.
Aux fins du présent règlement, un fabricant est réputé avoir son principal établissement dans l’Union dans l’État membre où sont principalement prises les décisions relatives à la cybersécurité de ses produits contenant des éléments numériques. Si un tel État membre ne peut être déterminé, l’État membre de l’établissement principal est celui dans lequel le fabricant concerné a l’établissement employant le plus grand nombre de personnes dans l’Union. Lorsqu’un fabricant n’a pas d’établissement principal dans l’Union, il envoie les notifications visées aux paragraphes 1 et 3 en utilisant le point final de notification électronique du CSIRT désigné comme coordinateur dans l’État membre, déterminé selon l’ordre suivant et sur la base des informations dont dispose le fabricant :
a) l’État membre dans lequel est établi le mandataire qui agit au nom du fabricant pour la plupart des produits contenant des éléments numériques du fabricant ;
b) l’État membre dans lequel est établi l’importateur qui met sur le marché la plupart des produits contenant des éléments numériques de ce fabricant ;
c) l’État membre dans lequel est établi le distributeur qui met à disposition sur le marché la plupart des produits contenant des éléments numériques de ce fabricant ;
d) l’État membre dans lequel se trouve la majorité des utilisateurs de produits contenant des éléments numériques de ce fabricant.
En ce qui concerne le troisième alinéa, point d), un fabricant peut adresser des notifications relatives à des vulnérabilités ultérieurement exploitées activement ou à des incidents de sécurité graves affectant la sécurité du produit numérique au même CSIRT que celui qui a été désigné comme coordinateur et auquel il a adressé sa première notification.
(8) Après avoir pris connaissance d’une vulnérabilité activement exploitée ou d’un incident de sécurité grave affectant la sécurité du produit numérique, le fabricant informe les utilisateurs concernés du produit numérique et, le cas échéant, tous les utilisateurs, de cette vulnérabilité ou de cet incident de sécurité grave et, si nécessaire, de toute mesure d’atténuation des risques et de toute mesure corrective que les utilisateurs peuvent prendre pour atténuer l’impact de ces vulnérabilités ou de ces incidents de sécurité, le cas échéant dans un format structuré, lisible par machine et facile à traiter automatiquement. Si le fabricant omet d’informer les utilisateurs du produit contenant des éléments numériques en temps utile, les CSIRT désignés comme coordinateurs peuvent mettre ces informations à la disposition des utilisateurs s’ils estiment que cela est proportionné et nécessaire pour prévenir ou atténuer les effets de ces vulnérabilités ou incidents de sécurité.
(9) Au plus tard le 11 décembre 2025, la Commission adopte un acte délégué conformément à l’article 61 du présent règlement afin de compléter le présent règlement en définissant les modalités et conditions d’application des motifs de cybersécurité liés au retard de diffusion des notifications visé à l’article 16, paragraphe 2, du présent règlement. La Commission coopère avec le réseau CSIRTS établi conformément à l’article 15 de la directive (UE) 2022/2555 et avec l’ENISA pour l’élaboration du projet d’acte délégué.
(10) La Commission peut, au moyen d’actes d’exécution, préciser le format et les procédures applicables aux notifications visées au présent article et aux articles 15 et 16. Ces actes d’exécution sont adoptés conformément à la procédure d’examen visée à l’article 62, paragraphe 2. La Commission coopère avec le réseau CSIRTS et l’ENISA lors de l’élaboration des projets d’actes d’exécution.
Article 15 Déclarations volontaires
(1) Les fabricants et autres personnes physiques ou morales peuvent signaler volontairement à un CSIRT désigné comme coordinateur ou à l’ENISA toute vulnérabilité contenue dans un produit numérique, ainsi que les cybermenaces susceptibles d’avoir une incidence sur le profil de risque d’un produit numérique.
(2) Les fabricants et autres personnes physiques ou morales peuvent, sur une base volontaire, notifier à un CSIRT désigné comme coordinateur ou à l’ENISA tout incident de sécurité affectant la sécurité du produit numérique, ainsi que les incidents évités de justesse qui auraient pu conduire à un tel incident de sécurité.
(3) Le CSIRT ou l’ENISA désigné(e) comme coordinateur(trice) traite les notifications visées aux paragraphes 1 et 2 conformément à la procédure prévue à l’article 16.
Le CSIRT désigné comme coordinateur peut traiter les déclarations obligatoires en priorité par rapport aux déclarations volontaires.
(4) Lorsqu’une personne physique ou morale autre que le fabricant visé au paragraphe 1 ou 2 signale une vulnérabilité activement exploitée ou un incident de sécurité grave affectant la sécurité d’un produit numérique, le CSIRT désigné comme coordonnateur en informe immédiatement le fabricant.
(5) Les CSIRT désignés comme coordonnateurs et l’ENISA veillent à la confidentialité et à la protection adéquate des informations transmises par une personne physique ou morale déclarante. Sans préjudice de la prévention, de la recherche, de la détection et de la poursuite d’infractions pénales, les notifications volontaires n’ont pas pour effet d’imposer à la personne physique ou morale notifiante des obligations supplémentaires qui ne lui auraient pas été imposées si elle n’avait pas transmis la notification.
Article 16 Mise en place d’une plate-forme de notification unique
(1) Aux fins des notifications visées à l’article 14, paragraphes 1 et 3, et à l’article 15, paragraphes 1 et 2, et afin de simplifier les obligations de notification des fabricants, l’ENISA met en place une plate-forme de notification unique. L’ENISA gère et maintient le fonctionnement quotidien de cette plate-forme de notification unique. L’architecture de la plate-forme de notification unique doit permettre aux États membres et à l’ENISA de mettre en place leurs propres points de terminaison pour la notification électronique.
(2) Dès réception d’une notification, le CSIRT désigné comme coordinateur qui reçoit initialement la notification la transmet sans délai, via la plateforme de notification unique, aux CSIRT désignés comme coordinateurs sur le territoire desquels le produit contenant des éléments numériques a été mis à disposition selon les indications du fabricant.
Dans des circonstances exceptionnelles et, en particulier, à la demande du fabricant et compte tenu du degré de sensibilité des informations notifiées indiqué par le fabricant conformément à l’article 14, paragraphe 2, point a), du présent règlement, la diffusion de la notification peut être reportée aussi longtemps que strictement nécessaire pour des motifs légitimes liés à la cybersécurité, y compris lorsqu’une vulnérabilité fait l’objet d’une procédure coordonnée de divulgation des vulnérabilités conformément à l’article 12, paragraphe 1, de la directive (UE) 2022/2555. Lorsqu’un CSIRT décide de retenir une notification, il informe immédiatement l’ENISA de sa décision et fournit à la fois une justification de la rétention de la notification et une indication du moment où il diffusera la notification conformément à la procédure définie dans le présent paragraphe. L’ENISA peut aider le CSIRT à appliquer des motifs de cybersécurité liés au report de la diffusion de la notification. Dans des circonstances exceptionnelles particulières, lorsque le fabricant indique dans la notification visée à l’article 14, paragraphe 2, point b), les éléments suivants :
a) que la vulnérabilité signalée a été activement exploitée par un acteur malveillant et, selon les informations disponibles, n’a pas été exploitée dans un État membre autre que celui du CSIRT désigné comme coordinateur et auquel le fabricant a signalé la vulnérabilité ;
b) qu’une diffusion immédiate plus large de la vulnérabilité signalée conduirait probablement à la fourniture d’informations dont la divulgation serait contraire aux intérêts essentiels de l’État membre concerné ; ou
c) que la vulnérabilité signalée présente un risque élevé immédiat pour la cybersécurité, résultant d’une diffusion plus large,
seules les informations indiquant que le fabricant a effectué une notification, les informations générales sur le produit, les informations sur le type général d’exploitation et les informations indiquant que des raisons de sécurité ont été invoquées sont mises à la disposition de l’ENISA en même temps, jusqu’à ce que la notification complète soit transmise aux CSIRT concernés et à l’ENISA. Si, sur la base de ces informations, l’ENISA estime qu’il existe un risque systémique pour la sécurité du marché intérieur, elle recommande au CSIRT qui a reçu la notification de transmettre la notification complète aux autres CSIRT désignés comme coordinateurs et à l’ENISA elle-même.
(3) Dès réception d’une notification concernant une vulnérabilité activement exploitée dans un produit numérique ou un incident de sécurité grave affectant la sécurité d’un produit numérique, les CSIRT désignés comme coordinateurs fournissent aux autorités de surveillance du marché de leur État membre respectif les informations notifiées dont elles ont besoin pour remplir leurs obligations au titre du présent règlement.
(4) L’ENISA prend des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées pour gérer les risques liés à la sécurité de la plate-forme de signalement unique et des informations transmises ou diffusées par le biais de la plate-forme de signalement unique. Elle signale immédiatement au réseau CSIRTS et à la Commission tout incident de sécurité affectant la plate-forme de signalement unique.
(5) L’ENISA, en coopération avec le réseau des CSIRTS, élabore et met en œuvre des spécifications relatives aux mesures techniques, opérationnelles et organisationnelles nécessaires à la mise en place, à la maintenance et au fonctionnement sûr de la plateforme de signalement unique visée au paragraphe 1, y compris, au minimum, les mesures de sécurité liées à la mise en place, l’exploitation et la maintenance de la plateforme de signalement unique, ainsi que des points de terminaison du signalement électronique mis en place par les CSIRT désignés comme coordinateurs au niveau national et par l’ENISA au niveau de l’Union, y compris les aspects procéduraux, afin de garantir que les informations relatives à ces vulnérabilités sont communiquées conformément à des protocoles de sécurité stricts et selon le principe du “besoin d’en connaître”, lorsqu’aucune mesure de correction ou d’atténuation des risques n’est disponible pour une vulnérabilité signalée.
(6) Lorsqu’une vulnérabilité activement exploitée a été portée à l’attention d’un CSIRT désigné comme coordinateur dans le cadre d’une procédure coordonnée de divulgation des vulnérabilités visée à l’article 12, paragraphe 1, de la directive (UE) 2022/2555, le CSIRT désigné comme coordinateur qui a initialement reçu la notification peut, pour des motifs légitimes liés à la cybersécurité, différer la diffusion de la notification concernée via la plateforme de notification unique pendant une période n’excédant pas le temps strictement nécessaire pour que les parties concernées par la procédure coordonnée de divulgation des vulnérabilités donnent leur accord à la divulgation. Cette exigence n’empêche pas les fabricants de notifier volontairement une telle vulnérabilité conformément à la procédure définie dans le présent article.
Article 17 Autres dispositions relatives à l’établissement de rapports
(1) L’ENISA peut communiquer au réseau européen des cyber-organismes de liaison en cas de crise (EU-CyCLONe), institué par l’article 16 de la directive (UE) 2022/2555, les informations notifiées conformément à l’article 14, paragraphes 1 et 3, et à l’article 15, paragraphes 1 et 2, du présent règlement, lorsque ces informations sont pertinentes pour la gestion coordonnée d’incidents et de crises de cybersécurité de grande ampleur au niveau opérationnel. Aux fins de la détermination de cette importance, l’ENISA peut, le cas échéant, tenir compte des analyses techniques du réseau CSIRTS.
(2) Lorsqu’une sensibilisation du public est nécessaire pour prévenir ou atténuer un incident de sécurité grave affectant la sécurité du produit numérique ou pour gérer un incident de sécurité en cours, ou lorsque la divulgation de l’incident de sécurité est autrement dans l’intérêt du public, le CSIRT désigné comme coordinateur de l’État membre concerné peut, après consultation du fabricant concerné et, le cas échéant, en coopération avec l’ENISA, informer le public de l’incident de sécurité ou demander au fabricant de le faire.
(3) Tous les 24 mois, l’ENISA établit un rapport technique sur les tendances émergentes en matière de risques de cybersécurité liés aux produits contenant des éléments numériques, sur la base des notifications reçues conformément à l’article 14, paragraphes 1 et 3, et à l’article 15, paragraphes 1 et 2, du présent règlement, et le soumet au groupe de coopération institué par l’article 14 de la directive (UE) 2022/2555. Le premier rapport de ce type est présenté dans les 24 mois suivant la date d’application des obligations énoncées à l’article 14, paragraphes 1 et 3. L’ENISA inclut les informations pertinentes de ses rapports techniques dans son rapport sur l’état de la cybersécurité dans l’Union, conformément à l’article 18 de la directive (UE) 2022/2555.
(4) La simple notification en vertu de l’article 14, paragraphes 1 et 3, et de l’article 15, paragraphes 1 et 2, n’entraîne pas de responsabilité plus élevée pour la personne physique ou morale qui effectue la notification.
(5) Dès qu’une mise à jour de sécurité ou toute autre forme de mesure corrective ou d’atténuation des risques est disponible, l’ENISA, en accord avec le fabricant du produit numérique concerné, inclut la vulnérabilité de notoriété publique notifiée conformément à l’article 14, paragraphe 1, ou à l’article 15, paragraphe 1, du présent règlement, dans la base de données européenne sur les vulnérabilités établie conformément à l’article 12, paragraphe 2, de la directive (UE) 2022/2555.
(6) Les CSIRT désignés comme coordonnateurs fournissent une assistance au service d’assistance aux producteurs, et en particulier aux producteurs considérés comme des microentreprises ou des petites ou moyennes entreprises, en ce qui concerne les obligations de déclaration visées à l’article 14.
Article 18 Mandataires
(1) Un fabricant peut désigner un mandataire par écrit.
(2) Les obligations énoncées à l’article 13, paragraphes 1 à 11, à l’article 13, paragraphe 12, premier alinéa, et à l’article 13, paragraphe 14, ne font pas partie de la mission du mandataire.
(3) Un mandataire exécute les tâches spécifiées dans le mandat délivré par le fabricant. Le mandataire fournit une copie du mandat aux autorités de surveillance du marché qui en font la demande. Le mandat doit permettre au mandataire d’accomplir au moins les tâches suivantes :
a) tenir à la disposition des autorités de surveillance du marché la déclaration UE de conformité visée à l’article 28 et la documentation technique visée à l’article 31 pendant au moins dix ans à compter de la mise sur le marché du produit numérique ou pendant la période d’assistance, si celle-ci est plus longue
b) transmettre à une autorité de surveillance du marché, à sa demande motivée, toutes les informations et tous les documents nécessaires pour démontrer la conformité du produit aux éléments numériques
c) coopérer avec les autorités de surveillance du marché, à leur demande, à toute mesure visant à prévenir les risques présentés par un produit contenant des éléments numériques relevant des attributions du mandataire.
Article 19 Obligations des importateurs
(1) Les importateurs ne mettent sur le marché que des produits contenant des éléments numériques qui satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et pour lesquels les procédures établies par le fabricant sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
(2) Avant de mettre sur le marché un produit contenant des éléments numériques, les importateurs s’assurent que
a) le fabricant a appliqué les procédures appropriées d’évaluation de la conformité visées à l’article 32 ;
b) le fabricant a établi la documentation technique
c) le produit numérique porte le marquage CE visé à l’article 30 et est accompagné de la déclaration UE de conformité visée à l’article 13, paragraphe 20, ainsi que des informations et des instructions destinées à l’utilisateur visées à l’annexe II, dans une langue aisément compréhensible par les utilisateurs et les autorités de surveillance du marché ;
d) le fabricant respecte les exigences visées à l’article 13, paragraphes 15, 16 et 19.
Aux fins du présent paragraphe, les importateurs doivent être en mesure de présenter les documents nécessaires prouvant le respect des exigences fixées dans le présent article.
(3) Lorsqu’un importateur considère ou a des raisons de croire qu’un produit intégrant des éléments numériques ou les procédures établies par le fabricant ne sont pas conformes au présent règlement, il ne met pas le produit sur le marché avant d’avoir établi la conformité de ce produit et des procédures établies par le fabricant avec le présent règlement. En outre, si le produit numérique présente un risque important pour la cybersécurité, l’importateur en informe le fabricant et les autorités de surveillance du marché.
Lorsqu’un importateur a des raisons de penser qu’un produit contenant des éléments numériques peut présenter un risque important pour la cybersécurité compte tenu de facteurs de risque non techniques, il en informe les autorités de surveillance du marché. Après avoir reçu cette information, les autorités de surveillance du marché suivent les procédures visées à l’article 54, paragraphe 2.
(4) Les importateurs indiquent leur nom, leur nom commercial enregistré ou leur marque déposée, leur adresse postale, leur adresse électronique ou tout autre moyen de contact numérique et, le cas échéant, le site web sur lequel ils peuvent être contactés, soit sur le produit numérique lui-même, soit sur son emballage ou dans la documentation accompagnant le produit numérique. Les coordonnées sont rédigées dans une langue aisément compréhensible par les utilisateurs et les autorités de surveillance du marché.
(5) Les importateurs qui savent ou ont des raisons de croire qu’un produit contenant des éléments numériques qu’ils ont mis sur le marché n’est pas conforme au présent règlement prennent immédiatement les mesures correctives nécessaires pour garantir la mise en conformité de ce produit contenant des éléments numériques avec le présent règlement ou, le cas échéant, pour retirer ce produit du marché ou le rappeler.
Dès que les importateurs ont connaissance d’une vulnérabilité dans le produit contenant des éléments numériques, ils en informent immédiatement le fabricant. En outre, si le produit numérique présente un risque important pour la cybersécurité, les importateurs en informent immédiatement les autorités de surveillance du marché des États membres dans lesquels ils ont mis le produit numérique à disposition sur le marché, en fournissant des précisions, notamment, sur la non-conformité et les mesures correctives adoptées.
(6) Les importateurs tiennent une copie de la déclaration UE de conformité à la disposition des autorités de surveillance du marché pendant au moins dix ans à compter de la date à laquelle le produit numérique est mis sur le marché, ou pendant la période de soutien si celle-ci est plus longue, et s’assurent qu’ils sont en mesure de présenter la documentation technique à ces autorités si elles en font la demande.
(7) Sur demande motivée de l’autorité de surveillance du marché, les importateurs lui communiquent, sur support papier ou sous forme électronique, dans une langue aisément compréhensible par l’autorité, toutes les informations et tous les documents nécessaires pour démontrer la conformité du produit numérique avec les exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et des procédures établies par le fabricant avec les exigences essentielles de cybersécurité énoncées à l’annexe I, partie II. Ils coopèrent avec cette autorité, à la demande de celle-ci, à toute mesure visant à prévenir les risques de cybersécurité liés à un produit intégrant des éléments numériques qu’ils ont mis sur le marché.
(8) Si l’importateur d’un produit numérique apprend que le fabricant de ce produit a cessé ses activités et n’est donc plus en mesure de remplir les obligations prévues par le présent règlement, il en informe les autorités de surveillance du marché concernées et, par tous les moyens disponibles et dans la mesure du possible, les utilisateurs des produits numériques mis sur le marché.
Article 20 Obligations des distributeurs
(1) Lorsqu’ils mettent à disposition sur le marché un produit contenant des éléments numériques, les distributeurs respectent les dispositions du présent règlement avec toute la diligence requise.
(2) Avant de mettre un produit contenant des éléments numériques à disposition sur le marché, les distributeurs vérifient si
a) le produit comporte des éléments numériques portant le marquage CE ;
b) le fabricant et l’importateur ont satisfait aux exigences visées à l’article 13, paragraphes 15, 16, 18, 19 et 20, et à l’article 19, paragraphe 4, et ont fourni au distributeur tous les documents nécessaires.
(3) Lorsqu’un distributeur considère ou a des raisons de croire, sur la base des informations dont il dispose, qu’un produit numérique ou les procédures établies par le fabricant ne sont pas conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, il ne met pas le produit numérique à disposition sur le marché tant que ce produit et les procédures établies par le fabricant n’ont pas été rendus conformes au présent règlement. En outre, si le produit numérique présente un risque important pour la cybersécurité, le distributeur en informe immédiatement le fabricant et les autorités de surveillance du marché.
(4) Les distributeurs qui savent ou ont des raisons de croire, sur la base des informations dont ils disposent, qu’un produit numérique qu’ils ont mis à disposition sur le marché ou les procédures établies par son fabricant ne sont pas conformes au présent règlement veillent à ce que les mesures correctives nécessaires soient prises pour mettre ce produit numérique et les procédures établies par son fabricant en conformité ou, le cas échéant, pour retirer le produit du marché ou le rappeler.
Dès que les distributeurs ont connaissance d’une vulnérabilité dans le produit contenant des éléments numériques, ils en informent immédiatement le fabricant. En outre, si le produit numérique présente un risque important pour la cybersécurité, les distributeurs en informent immédiatement les autorités de surveillance du marché des États membres dans lesquels ils ont mis le produit numérique à disposition sur le marché, en fournissant des précisions, notamment, sur la non-conformité et les mesures correctives adoptées.
(5) Sur demande motivée de l’autorité de surveillance du marché, les distributeurs lui communiquent, sur support papier ou sous forme électronique, dans une langue aisément compréhensible par l’autorité, toutes les informations et tous les documents nécessaires pour démontrer la conformité du produit contenant des éléments numériques et les procédures prévues par le fabricant dans le présent règlement. Ils coopèrent avec cette autorité, à sa demande, à toute mesure visant à prévenir les risques de cybersécurité liés à un produit contenant des éléments numériques qu’ils ont mis à disposition sur le marché.
(6) Si le distributeur d’un produit numérique apprend, sur la base des informations dont il dispose, que le fabricant de ce produit a cessé ses activités et n’est donc pas en mesure de remplir les obligations prévues par le présent règlement, il en informe immédiatement les autorités de surveillance du marché concernées et, par tous les moyens disponibles et dans la mesure du possible, les utilisateurs des produits numériques mis sur le marché.
Article 21 Cas dans lesquels les obligations des producteurs s’appliquent également aux importateurs et aux distributeurs
Un importateur ou un distributeur est considéré comme un fabricant aux fins du présent règlement et est soumis aux obligations visées aux articles 13 et 14 lorsque cet importateur ou ce distributeur met un produit numérique sur le marché sous son propre nom ou sa propre marque ou apporte une modification substantielle à un produit numérique déjà mis sur le marché.
Article 22 Autres cas dans lesquels les obligations des producteurs s’appliquent
(1) Une personne physique ou morale, autre que le fabricant, l’importateur ou le distributeur, qui apporte une modification substantielle au produit numérique et met ce produit à disposition sur le marché, est considérée comme un fabricant aux fins du présent règlement.
(2) La personne visée au paragraphe 1 du présent article est soumise aux obligations prévues aux articles 13 et 14 pour la partie du produit contenant des éléments numériques qui est affectée par la modification substantielle ou, lorsque la modification substantielle a une incidence sur la cybersécurité du produit contenant des éléments numériques dans son ensemble, pour l’ensemble du produit.
Article 23 Identification des opérateurs économiques
(1) Sur demande, les opérateurs économiques transmettent les informations suivantes aux autorités de surveillance du marché :
a) le nom et l’adresse de tous les opérateurs économiques auprès desquels ils ont obtenu des produits contenant des éléments numériques,
b) si disponibles, le nom et l’adresse de tous les opérateurs économiques auxquels ils ont fourni des produits contenant des éléments numériques.
(2) Les opérateurs économiques doivent être en mesure de fournir les informations visées au paragraphe 1 pendant dix ans après l’obtention du produit contenant des éléments numériques et pendant dix ans après la fourniture du produit contenant des éléments numériques.
Article 24 Obligations des administrateurs de logiciels à code source ouvert
(1) Les gestionnaires de logiciels à source ouverte élaborent et documentent, de manière vérifiable, une politique de cybersécurité visant à encourager le développement d’un produit sûr contenant des éléments numériques et la gestion efficace des vulnérabilités par les développeurs de ce produit. Cette stratégie encourage également la notification volontaire des vulnérabilités par les développeurs de ce produit, conformément à l’article 15, et tient compte des spécificités du gestionnaire de logiciels à code source ouvert et des dispositions juridiques et organisationnelles auxquelles il est soumis. Cette stratégie couvre en particulier les aspects liés à la documentation, à la correction et à l’élimination des vulnérabilités et encourage l’échange d’informations sur les vulnérabilités détectées au sein de la communauté open source.
(2) Les gestionnaires de logiciels à code source ouvert coopèrent, à leur demande, avec les autorités de surveillance du marché afin d’atténuer les risques de cybersécurité posés par un produit contenant des éléments numériques et considéré comme un logiciel libre et à code source ouvert.
Sur demande motivée d’une autorité de surveillance du marché, les administrateurs de logiciels à code source ouvert fournissent à cette autorité, dans une langue aisément compréhensible par elle, les documents visés au paragraphe 1, sur support papier ou sous forme électronique.
(3) Les obligations énoncées à l’article 14, paragraphe 1, s’appliquent aux administrateurs de logiciels à source ouverte dans la mesure où ils participent au développement des produits numériques. Les obligations énoncées à l’article 14, paragraphes 3 et 8, s’appliquent aux gestionnaires de logiciels à source ouverte dans la mesure où des incidents de sécurité graves affectant la sécurité des produits numériques affectent les systèmes de réseau et d’information fournis par les gestionnaires de logiciels à source ouverte pour le développement de ces produits.
Article 25 Certificat de sécurité pour les logiciels libres et à code source ouvert
Afin de faciliter l’exercice du devoir de vigilance visé à l’article 13, paragraphe 5, notamment en ce qui concerne les fabricants qui intègrent des composants logiciels libres et à source ouverte dans leurs produits contenant des éléments numériques, la Commission se voit conférer le pouvoir d’adopter des actes délégués conformément à l’article 61, afin de compléter le présent règlement par la mise en place de programmes volontaires de certification de la sécurité permettant aux concepteurs ou aux utilisateurs de produits contenant des éléments numériques considérés comme des logiciels libres et à source ouverte, ainsi qu’à d’autres tiers, d’évaluer la conformité de ces produits à toutes les exigences essentielles de cybersécurité ou à certaines d’entre elles ou à d’autres obligations prévues par le présent règlement.
Article 26 Lignes directrices
(1) Afin de faciliter la mise en œuvre et d’assurer la cohérence de celle-ci, la Commission publie des lignes directrices destinées à aider les opérateurs économiques à appliquer le présent règlement, en mettant particulièrement l’accent sur la facilitation du respect de celui-ci par les micro, petites et moyennes entreprises.
(2) Lorsque la Commission a l’intention de fournir des orientations conformément au paragraphe 1, elle aborde au moins les aspects suivants :
a) le champ d’application du présent règlement, en mettant particulièrement l’accent sur les solutions de traitement des données à distance et les logiciels libres et à code source ouvert,
b) l’application de périodes de soutien en ce qui concerne certaines catégories de produits contenant des éléments numériques ;
c) des lignes directrices pour les fabricants soumis au présent règlement et également soumis à la législation d’harmonisation de l’Union autre que le présent règlement ou à d’autres actes connexes de l’Union ;
d) la notion de modification substantielle.
La Commission tient également à jour une liste facilement accessible des actes délégués et des actes d’exécution adoptés en vertu du présent règlement.
(3) Lors de l’élaboration des lignes directrices visées au présent article, la Commission consulte les parties prenantes concernées.
Chapitre III Conformité du produit avec les éléments numériques
Article 27 Présomption de conformité
(1) Les produits comportant des éléments numériques et des procédures définies par le fabricant qui sont conformes à des normes harmonisées ou à des parties de normes harmonisées dont les références ont été publiées au Journal officiel de l’Union européenne bénéficient d’une présomption de conformité aux exigences essentielles de cybersécurité énoncées à l’annexe I, dans la mesure où ces exigences sont couvertes par les normes ou parties de normes concernées.
Conformément à l’article 10, paragraphe 1, du règlement (UE) no 1025/2012, la Commission invite un ou plusieurs organismes européens de normalisation à élaborer des normes harmonisées pour les exigences essentielles de cybersécurité énumérées à l’annexe I du présent règlement. Lors de l’élaboration des demandes de normalisation au titre du présent règlement, la Commission s’efforce de tenir compte des normes européennes et internationales existantes en matière de cybersécurité qui sont en vigueur ou en cours d’élaboration, afin de faciliter l’élaboration de normes harmonisées conformément au règlement (UE) no 1025/2012.
(2) La Commission peut adopter des actes d’exécution établissant des spécifications communes relatives aux exigences techniques dont le respect permet de satisfaire aux exigences essentielles de cybersécurité définies à l’annexe I pour les produits contenant des éléments numériques relevant du champ d’application du présent règlement.
Ces actes d’exécution ne peuvent être adoptés que si les conditions suivantes sont remplies :
a) la Commission a demandé à un ou plusieurs organismes européens de normalisation, conformément à l’article 10, paragraphe 1, du règlement (UE) no 1025/2012, d’élaborer une norme harmonisée pour les exigences essentielles de cybersécurité énoncées à l’annexe I, et :
i) la commande n’a pas été acceptée
ii) les normes harmonisées concernées par cette demande ne sont pas fournies dans le délai fixé conformément à l’article 10, paragraphe 1, du règlement (UE) n° 1025/2012, ou
iii) les normes harmonisées ne correspondent pas au mandat, et
b) aucune référence n’a été publiée au Journal officiel de l’Union européenne, conformément au règlement (UE) no 1025/2012, à des normes harmonisées répondant aux exigences essentielles de cybersécurité pertinentes énoncées à l’annexe I du présent règlement, et il n’est pas prévu qu’une telle référence soit publiée dans un délai raisonnable.
Ces actes d’exécution sont adoptés conformément à la procédure d’examen visée à l’article 62, paragraphe 2.
(3) Avant d’élaborer un projet d’acte d’exécution visé au paragraphe 2 du présent article, la Commission informe le comité visé à l’article 22 du règlement (UE) n° 1025/2012 qu’elle estime que les conditions visées au paragraphe 2 du présent article sont remplies.
(4) Lorsqu’elle élabore un projet d’acte d’exécution visé au paragraphe 2, la Commission tient compte des avis exprimés dans les enceintes appropriées et consulte dûment toutes les parties prenantes concernées.
(5) Les produits comportant des éléments numériques et des procédures définies par le fabricant qui sont conformes aux spécifications communes établies par l’acte d’exécution visé au paragraphe 2 du présent article sont présumés conformes aux exigences essentielles de cybersécurité définies à l’annexe I, dans la mesure où les spécifications communes ou des parties de celles-ci couvrent ces exigences.
(6) Lorsqu’une norme harmonisée est adoptée par un organisme européen de normalisation et proposée à la Commission en vue de la publication de sa référence au Journal officiel de l’Union européenne, la Commission évalue cette norme harmonisée conformément au règlement (UE) n° 1025/2012. Lorsqu’une référence à une norme harmonisée est publiée au Journal officiel de l’Union européenne, la Commission abroge les actes d’exécution visés au paragraphe 2 du présent article, ou une partie de ceux-ci, qui régissent les mêmes exigences essentielles de cybersécurité que la norme harmonisée.
(7) Lorsqu’un État membre estime qu’une spécification commune ne satisfait pas entièrement aux exigences essentielles de cybersécurité énoncées à l’annexe I, il en informe la Commission au moyen d’une explication circonstanciée. La Commission évalue l’explication détaillée et peut, le cas échéant, modifier l’acte d’exécution établissant la spécification commune concernée.
(8) Les produits comportant des éléments numériques et des procédures définies par le fabricant, pour lesquels une déclaration UE de conformité ou un certificat de cybersécurité a été délivré dans le cadre d’un schéma européen de certification de la cybersécurité adopté conformément au règlement (UE) 2019/881, sont présumés conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, pour autant que la déclaration UE de conformité ou le certificat européen de cybersécurité, ou des parties de ceux-ci, couvrent ces exigences.
(9) La Commission se voit conférer le pouvoir d’adopter des actes délégués conformément à l’article 61 afin de compléter le présent règlement en identifiant les schémas européens de certification de la cybersécurité adoptés conformément au règlement (UE) 2019/881 qui peuvent être utilisés pour démontrer la conformité des produits contenant des éléments numériques avec les exigences essentielles de cybersécurité énoncées à l’annexe I ou des parties de celles-ci. En outre, la délivrance d’un certificat européen de cybersécurité d’un niveau de confiance “moyen” au moins, délivré dans le cadre d’un tel schéma, supprime l’obligation pour le fabricant de faire procéder à une évaluation de la conformité par un tiers pour les exigences concernées, prévue à l’article 32, paragraphe 2, points a) et b), et à l’article 32, paragraphe 3, points a) et b).
Article 28 Déclaration de conformité UE
(1) La déclaration UE de conformité est établie par le fabricant conformément à l’article 13, paragraphe 12, et indique que le respect des exigences essentielles de cybersécurité énoncées à l’annexe I a été démontré.
(2) La déclaration UE de conformité est structurée conformément au modèle figurant à l’annexe V et contient les éléments spécifiés dans les procédures pertinentes d’évaluation de la conformité visées à l’annexe VIII. Une telle déclaration est mise à jour selon les besoins. Elle est rédigée dans les langues prescrites par l’État membre dans lequel le produit contenant des éléments numériques est commercialisé ou mis à disposition sur le marché.
La déclaration UE simplifiée de conformité visée à l’article 13, paragraphe 20, est établie selon le modèle figurant à l’annexe VI. Elle est rédigée dans les langues exigées par l’État membre dans lequel le produit contenant des éléments numériques est commercialisé ou mis à disposition sur le marché.
(3) Lorsqu’un produit numérique est soumis à plusieurs législations de l’Union européenne exigeant chacune une déclaration de conformité UE, une déclaration de conformité UE unique est établie pour l’ensemble de la législation de l’Union. Cette déclaration doit mentionner les actes juridiques de l’Union concernés et leurs références au Journal officiel.
(4) En établissant la déclaration de conformité UE, le fabricant assume la responsabilité de la conformité du produit avec les éléments numériques.
(5) La Commission se voit conférer le pouvoir d’adopter des actes délégués, conformément à l’article 61, afin de compléter le présent règlement en vue d’ajouter, à la lumière de l’évolution technologique, de nouveaux éléments aux informations minimales à fournir dans la déclaration UE de conformité, telles qu’elles sont définies à l’annexe V.
Article 29 Principes généraux du marquage “CE
Les principes généraux de l’article 30 du règlement (CE) no 765/2008 s’appliquent au marquage CE.
Article 30 Règles et conditions d’apposition du marquage CE
(1) Le marquage “CE” est apposé de manière visible, lisible et indélébile sur le produit contenant des éléments numériques. Si la nature du produit contenant des éléments numériques ne le permet pas ou ne le justifie pas, le marquage CE est apposé sur l’emballage et sur la déclaration UE de conformité visée à l’article 28 qui accompagne le produit contenant des éléments numériques. Pour les produits contenant des éléments numériques sous la forme de logiciels, le marquage CE est apposé soit sur la déclaration UE de conformité visée à l’article 28, soit sur le site web accompagnant le produit logiciel. Dans ce dernier cas, la section pertinente du site web doit être facilement et directement accessible aux consommateurs.
(2) En raison de la nature du produit contenant des éléments numériques, la hauteur du marquage CE apposé sur celui-ci peut être inférieure à 5 mm, à condition qu’il reste visible et lisible.
(3) Le marquage “CE” est apposé avant la mise sur le marché du produit au moyen d’éléments numériques. Il peut être suivi d’un pictogramme ou d’un autre signe indiquant un risque particulier en matière de cybersécurité ou une utilisation particulière, à définir par les actes d’exécution visés au paragraphe 6.
(4) Le marquage “CE” est suivi du numéro d’identification de l’organisme notifié lorsque celui-ci intervient dans la procédure d’évaluation de la conformité sur la base de l’assurance qualité complète (sur la base du module H) visée à l’article 32.
Le numéro d’identification de l’organisme notifié est apposé soit par l’organisme lui-même, soit, selon ses instructions, par le fabricant ou son mandataire.
(5) Les États membres s’appuient sur les mécanismes existants pour assurer la bonne mise en œuvre du système de marquage “CE” et prennent les mesures appropriées en cas d’utilisation abusive de ce marquage. Si le produit numérique est également couvert par une législation d’harmonisation de l’Union autre que le présent règlement, qui prévoit également l’apposition du marquage CE, ce dernier indique que le produit satisfait également aux exigences de cette autre législation d’harmonisation de l’Union.
(6) La Commission peut, au moyen d’actes d’exécution, adopter des spécifications techniques concernant les étiquettes, pictogrammes ou autres marques relatives à la sécurité des produits numériques, leurs périodes de prise en charge, ainsi que des mécanismes visant à promouvoir leur utilisation et à sensibiliser le public à la sécurité des produits numériques. Lors de l’élaboration des projets d’actes d’exécution, la Commission consulte les parties prenantes concernées et, si elle a déjà été établie conformément à l’article 52, paragraphe 15, l’ADCO. Ces actes d’exécution sont adoptés conformément à la procédure d’examen visée à l’article 62, paragraphe 2.
Article 31 Documentation technique
(1) La documentation technique contient toutes les données pertinentes ou des précisions sur la manière dont le fabricant garantit que le produit numérique et les procédures établies par le fabricant satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I. Elle contient au moins les informations visées à l’annexe VII.
(2) La documentation technique est établie avec des éléments numériques avant la mise sur le marché du produit et, le cas échéant, est mise à jour en permanence, au moins pendant la période de soutien.
(3) Dans le cas de dispositifs comprenant des éléments numériques visés à l’article 12 et également soumis à d’autres actes législatifs de l’Union prévoyant une documentation technique, il est établi une documentation technique unique contenant les informations visées à l’annexe VII ainsi que les informations requises par les autres actes législatifs de l’Union.
(4) La documentation technique et la correspondance relative aux procédures d’évaluation de la conformité sont rédigées dans une langue officielle de l’État membre où est établi l’organisme notifié ou dans une langue acceptée par celui-ci.
(5) La Commission se voit conférer le pouvoir d’adopter des actes délégués, conformément à l’article 61, en vue de compléter le présent règlement par l’ajout d’éléments à inclure dans la documentation technique visée à l’annexe VII, afin de tenir compte des évolutions techniques et de l’évolution de la mise en œuvre du présent règlement. À cette fin, la Commission s’efforce de faire en sorte que la charge administrative pesant sur les micro, petites et moyennes entreprises soit proportionnée.
Article 32 Procédures d’évaluation de la conformité pour les produits contenant des éléments numériques
(1) Le fabricant procède à une évaluation de la conformité du produit à l’aide d’éléments numériques et de procédures établies par le fabricant afin de déterminer si les exigences essentielles de cybersécurité énoncées à l’annexe I sont satisfaites. Le fabricant apporte la preuve de la conformité aux exigences essentielles de cybersécurité par l’un des moyens suivants :
a) la procédure de contrôle interne (basée sur le module A) visée à l’annexe VIII
b) procédure d’examen UE de type (sur la base du module B) visée à l’annexe VIII, puis conformité au type UE sur la base du contrôle interne de la fabrication (sur la base du module C) visée à l’annexe VIII
c) l’évaluation de la conformité sur la base de l’assurance qualité complète (sur la base du module H) visée à l’annexe VIII ; ou
d) lorsqu’il est disponible et applicable, un schéma européen de certification de la cybersécurité, conformément à l’article 27, paragraphe 9.
(2) Lorsque le fabricant n’a pas appliqué, ou n’a appliqué que partiellement, des normes harmonisées, des spécifications communes ou des systèmes européens de certification en matière de cybersécurité d’un niveau de confiance “moyen” au moins, conformément à l’article 27, lors de l’évaluation de la conformité d’un produit important contenant des éléments numériques relevant de la classe I, tel que défini à l’annexe III, et des procédures établies par le fabricant avec les exigences essentielles de cybersécurité énoncées à l’annexe I, ou lorsque de telles normes harmonisées, spécifications communes ou des systèmes européens de certification de la cybersécurité n’existent pas, les produits contenant des éléments numériques et les procédures établies par le fabricant en ce qui concerne les exigences essentielles de cybersécurité sont soumis à l’une des procédures suivantes :
a) la procédure d’examen UE de type (basée sur le module B) visée à l’annexe VIII, suivie de la conformité au type UE sur la base du contrôle interne de la fabrication (basé sur le module C) visé à l’annexe VIII, ou
b) une évaluation de la conformité fondée sur l’assurance qualité complète (sur la base du module H), conformément à l’annexe VIII.
(3) Si le produit est un produit important contenant des éléments numériques et relevant de la classe II au sens de l’annexe III, le fabricant apporte la preuve de la conformité aux exigences essentielles de cybersécurité énoncées à l’annexe I par l’un des moyens suivants :
a) Procédure d’examen UE de type (sur la base du module B) visée à l’annexe VIII, puis conformité au type UE sur la base du contrôle interne de la fabrication (sur la base du module C) visé à l’annexe VIII ;
b) une évaluation de la conformité sur la base de l’assurance qualité complète (sur la base du module H) visée à l’annexe VIII, ou
c) lorsqu’il est disponible et applicable, un schéma européen de certification de la cybersécurité, conformément à l’article 27, paragraphe 9, du présent règlement, au moins au niveau de confiance “moyen” tel que défini dans le règlement (UE) 2019/881.
(4) Pour les produits critiques contenant des éléments numériques énumérés à l’annexe IV, la preuve de la conformité aux exigences essentielles de cybersécurité énoncées à l’annexe I est apportée par l’un des moyens suivants :
a) un schéma européen de certification de la cybersécurité visé à l’article 8, paragraphe 1, ou
b) si les conditions prévues à l’article 8, paragraphe 1, ne sont pas remplies, l’une des procédures visées au paragraphe 3.
(5) Les fabricants de produits contenant des éléments numériques considérés comme des logiciels libres et à source ouverte et relevant des catégories énumérées à l’annexe III peuvent démontrer la conformité aux exigences essentielles de cybersécurité énoncées à l’annexe I en utilisant l’une des procédures visées au paragraphe 1 du présent article, à condition que la documentation technique visée à l’article 31 soit mise à la disposition du public au moment de la mise sur le marché de ces produits.
(6) Lors de la fixation des redevances d’évaluation de la conformité, il est tenu compte des intérêts et des besoins particuliers des microentreprises et des petites et moyennes entreprises, y compris les jeunes entreprises, et ces redevances sont réduites proportionnellement à leurs intérêts et besoins particuliers.
Article 33 Mesures de soutien aux micro, petites et moyennes entreprises, y compris les jeunes entreprises
(1) Les États membres prennent, le cas échéant, les mesures suivantes, adaptées aux besoins des micro et petites entreprises :
a) organiser des actions spécifiques de sensibilisation et de formation à l’application du présent règlement,
b) mettre en place un canal de communication spécifique pour les micro et petites entreprises et, le cas échéant, pour les autorités locales, afin de fournir des conseils sur la mise en œuvre du présent règlement et de répondre aux questions,
c) soutien aux activités d’essai et d’évaluation de la conformité, y compris, si nécessaire, avec l’aide du Centre européen d’expertise en cybersécurité.
(2) Les États membres peuvent, si nécessaire, créer des laboratoires réels pour la cyber-résilience. Ces laboratoires réels prévoient des environnements d’essai contrôlés pour les produits innovants contenant des éléments numériques, afin de faciliter leur développement, leur conception, leur validation et leur expérimentation aux fins du respect du présent règlement pendant une période limitée avant leur mise sur le marché. La Commission et, le cas échéant, l’ENISA peuvent fournir une assistance technique, des conseils et des outils pour la mise en place et le fonctionnement de laboratoires réels. Les laboratoires réels sont établis sous la supervision, la direction et le soutien directs des autorités de surveillance du marché. Les États membres informent la Commission et les autres autorités de surveillance du marché de la création d’un laboratoire réel par l’intermédiaire d’ADCO. Les laboratoires réalistes ne portent pas atteinte aux pouvoirs de surveillance et de réparation des autorités compétentes. Les États membres garantissent un accès ouvert, équitable et transparent aux laboratoires réels et facilitent notamment l’accès des micro et petites entreprises, y compris les start-up.
(3) Conformément à l’article 26, la Commission fournit des lignes directrices aux micro, petites et moyennes entreprises concernant l’application du présent règlement.
(4) La Commission fournit des informations sur les aides financières disponibles dans le cadre juridique des programmes existants de l’Union, afin d’alléger la charge financière pesant notamment sur les micro et petites entreprises.
(5) Les micro et petites entreprises peuvent présenter tous les éléments de la documentation technique visés à l’annexe VII dans un format simplifié. cette fin, la Commission définit, au moyen d’actes d’exécution, le formulaire simplifié de la documentation technique adapté aux besoins des micro et petites entreprises, y compris la manière dont les éléments énumérés à l’annexe VII doivent être présentés. Lorsqu’une microentreprise ou une petite entreprise choisit de fournir les informations requises à l’annexe VII de manière simplifiée, elle utilise le formulaire visé au présent paragraphe. Les organismes notifiés acceptent ce formulaire aux fins de l’évaluation de la conformité.
Ces actes d’exécution sont adoptés conformément à la procédure d’examen visée à l’article 62, paragraphe 2.
Article 34 Accords de reconnaissance mutuelle
Compte tenu du niveau de développement technique et de l’approche adoptée par un pays tiers en matière d’évaluation de la conformité, l’Union peut conclure des accords de reconnaissance mutuelle avec des pays tiers, conformément à l’article 218 du TFUE, afin de promouvoir et de faciliter les échanges internationaux.
Chapitre IV Notification des organismes d’évaluation de la conformité
Article 35 Notification
(1) Les États membres notifient à la Commission et aux autres États membres les organismes autorisés à effectuer des évaluations de la conformité en vertu du présent règlement.
(2) Au plus tard le 11 décembre 2026, les États membres veillent à ce qu’il y ait dans l’Union un nombre suffisant d’organismes notifiés capables d’effectuer des évaluations de la conformité, afin d’éviter les goulets d’étranglement et les obstacles à l’accès au marché.
Article 36 Autorités de notification
(1) Chaque État membre désigne une autorité notifiante responsable de la mise en place et de l’application des procédures nécessaires à l’évaluation, à la désignation et à la notification des organismes d’évaluation de la conformité, ainsi qu’à leur contrôle, y compris le respect de l’article 41.
(2) Les États membres peuvent décider que l’évaluation et le contrôle visés au paragraphe 1 du présent article sont effectués par un organisme national d’accréditation au sens du règlement (CE) no 765/2008 et conformément à celui-ci.
(3) Si l’autorité notifiante délègue ou confie d’une autre manière l’évaluation, la notification ou le contrôle visés au paragraphe 1 du présent article à un organisme non gouvernemental, cet organisme doit être une personne morale et se conformer, mutatis mutandis, à l’article 37. En outre, cet organisme doit prendre des dispositions pour couvrir les responsabilités découlant de ses activités.
(4) L’autorité notifiante assume l’entière responsabilité des activités menées par l’organisme visé au paragraphe 3.
Article 37 Exigences applicables aux autorités notifiantes
(1) Les autorités de notification sont établies de manière à éviter tout conflit d’intérêts avec les organismes d’évaluation de la conformité.
(2) Les autorités notifiantes garantissent, par leur organisation et leur fonctionnement, l’objectivité et l’impartialité de leurs activités.
(3) Les autorités de notification sont structurées de manière à ce que chaque décision relative à la notification d’un organisme d’évaluation de la conformité soit prise par des personnes compétentes, différentes de celles qui ont réalisé l’évaluation.
(4) Les autorités notifiantes ne proposent ni ne fournissent aucune activité réalisée par des organismes d’évaluation de la conformité, ni aucun service de conseil sur une base commerciale ou concurrentielle.
(5) Les autorités notifiantes garantissent la confidentialité des informations qu’elles obtiennent.
(6) Une autorité notifiante dispose d’un personnel compétent et en nombre suffisant pour s’acquitter correctement de ses tâches.
Article 38 Obligations d’information des autorités notifiantes
(1) Les États membres informent la Commission de leurs procédures d’évaluation et de notification des organismes d’évaluation de la conformité et de contrôle des organismes notifiés, ainsi que des modifications apportées à ces procédures.
(2) La Commission met les informations visées au paragraphe 1 à la disposition du public.
Article 39 Exigences applicables aux organismes notifiés
(1) Aux fins de la notification, les organismes d’évaluation de la conformité répondent aux exigences énoncées aux paragraphes 2 à 12.
(2) Un organisme d’évaluation de la conformité est créé en vertu du droit national et est doté de la personnalité juridique.
(3) Un organisme d’évaluation de la conformité est un tiers indépendant de l’organisation ou du produit contenant des éléments numériques qui est évalué.
Un organisme appartenant à une association professionnelle ou à une fédération professionnelle qui évalue des produits contenant des éléments numériques dans la conception, le développement, la fabrication, la fourniture, l’assemblage, l’utilisation ou l’entretien desquels interviennent des entreprises représentées par cette association peut être considéré comme un tel tiers indépendant, à condition que son indépendance et l’absence de tout conflit d’intérêts soient démontrées.
(4) Un organisme d’évaluation de la conformité, ses cadres supérieurs et le personnel chargé d’exécuter les tâches d’évaluation de la conformité ne peuvent être le concepteur, le développeur, le fabricant, le fournisseur, l’importateur, le distributeur, l’installateur, l’acheteur, le propriétaire, l’utilisateur ou le responsable de l’entretien des produits numériques qu’ils évaluent, ni le mandataire d’aucune de ces parties. Cela n’exclut pas l’utilisation de produits ayant déjà fait l’objet d’une évaluation de la conformité et qui sont nécessaires aux activités de l’organisme d’évaluation de la conformité, ni l’utilisation de ces produits pour un usage personnel.
Un organisme d’évaluation de la conformité, ses cadres supérieurs et le personnel chargé d’exécuter les tâches d’évaluation de la conformité ne peuvent intervenir directement dans la conception, le développement, la fabrication, l’importation, la distribution, la commercialisation, l’installation, l’utilisation ou l’entretien de ces produits comportant des éléments numériques qu’ils évaluent, ni représenter les parties engagées dans ces activités. Ils ne doivent pas s’engager dans des activités susceptibles de compromettre leur indépendance d’appréciation ou leur intégrité dans le cadre des activités d’évaluation de la conformité pour lesquelles ils sont notifiés. Cela s’applique en particulier aux services de conseil. Les organismes d’évaluation de la conformité veillent à ce que les activités de leurs filiales ou sous-traitants ne compromettent pas la confidentialité, l’objectivité ou l’impartialité de leurs activités d’évaluation de la conformité.
(5) Les organismes d’évaluation de la conformité et leur personnel exercent les activités d’évaluation de la conformité avec le plus grand professionnalisme et la plus grande compétence technique possible dans le domaine concerné et sont à l’abri de toute pression et incitation, notamment d’ordre financier, susceptibles d’influencer leur jugement ou les résultats de leurs travaux d’évaluation de la conformité, en particulier de la part de personnes ou de groupes de personnes intéressées par les résultats de ces activités.
(6) Un organisme d’évaluation de la conformité est capable d’exécuter toutes les tâches d’évaluation de la conformité qui lui ont été assignées en vertu de l’annexe VIII et pour lesquelles il a été notifié, que ces tâches soient exécutées par l’organisme lui-même, en son nom ou sous sa responsabilité.
Un organisme d’évaluation de la conformité dispose à tout moment, pour chaque procédure d’évaluation de la conformité et pour chaque type et catégorie de produits contenant des éléments numériques pour lesquels il a été notifié, de
a) le personnel nécessaire ayant les connaissances et l’expérience suffisante et pertinente pour effectuer les tâches d’évaluation de la conformité ;
b) des descriptions des procédures selon lesquelles l’évaluation de la conformité doit être effectuée, afin de garantir la transparence et la reproductibilité de ces procédures. Il dispose d’un cahier des charges approprié et de procédures adéquates établissant une distinction entre les tâches qu’il accomplit en tant qu’organisme notifié et les autres activités ;
c) Procédure de réalisation d’activités tenant dûment compte de la taille d’une entreprise, du secteur dans lequel elle opère, de sa structure, du degré de complexité de la technologie du produit concerné et de la nature de production de masse ou de série du processus de fabrication.
Un organisme d’évaluation de la conformité dispose des moyens nécessaires pour accomplir de manière adéquate les tâches techniques et administratives liées aux activités d’évaluation de la conformité et a accès à tous les équipements ou installations nécessaires.
(7) Le personnel chargé d’effectuer les activités d’évaluation de la conformité doit disposer des éléments suivants :
a) une solide formation technique et professionnelle couvrant toutes les activités d’évaluation de la conformité dans le domaine pour lequel l’organisme d’évaluation de la conformité a été notifié ;
b) une connaissance satisfaisante des exigences liées aux évaluations à effectuer et l’autorité appropriée pour effectuer ces évaluations ;
c) une connaissance et une compréhension adéquates des exigences essentielles en matière de cybersécurité énoncées à l’annexe I, des normes harmonisées et des spécifications communes applicables, ainsi que de la législation d’harmonisation pertinente de l’Union et de ses dispositions d’application ;
d) la capacité de rédiger des certificats, des procès-verbaux et des rapports comme preuve des évaluations effectuées.
(8) L’impartialité des organismes d’évaluation de la conformité, de leurs cadres supérieurs et de leur personnel d’évaluation doit être garantie.
La rémunération des cadres supérieurs et du personnel d’évaluation de l’organisme d’évaluation de la conformité ne doit pas dépendre du nombre d’évaluations effectuées ou de leurs résultats.
(9) Les organismes d’évaluation de la conformité souscrivent une assurance de responsabilité civile, à moins que cette responsabilité ne soit couverte en vertu du droit national de leur État membre ou que l’État membre lui-même ne soit directement responsable de l’évaluation de la conformité.
(10) Les informations obtenues par le personnel d’un organisme d’évaluation de la conformité dans l’exercice de ses fonctions, conformément à l’annexe VIII ou à l’une des dispositions nationales d’exécution pertinentes, sont couvertes par le secret professionnel, sauf à l’égard des autorités de surveillance du marché de l’État membre dans lequel il exerce ses activités. Les droits de propriété sont protégés. L’organisme d’évaluation de la conformité dispose de procédures documentées pour assurer le respect du présent paragraphe.
(11) Les organismes d’évaluation de la conformité participent aux activités de normalisation pertinentes et aux activités du groupe de coordination des organismes notifiés établi en vertu de l’article 51, ou veillent à ce que leur personnel d’évaluation en soit informé, et appliquent comme lignes directrices générales les décisions administratives et les documents élaborés par ce groupe.
(12) Les organismes d’évaluation de la conformité exercent leurs activités dans le respect d’un ensemble de conditions commerciales cohérentes, équitables, proportionnées et raisonnables, en évitant d’imposer des charges inutiles aux opérateurs économiques et en tenant compte des intérêts des micro, petites et moyennes entreprises, notamment en ce qui concerne les redevances.
Article 40 Présomption de conformité des organismes notifiés
Lorsqu’un organisme d’évaluation de la conformité démontre sa conformité aux critères définis dans les normes harmonisées pertinentes, dont les références ont été publiées au Journal officiel de l’Union européenne, ou dans des parties de ces normes, il est présumé répondre aux exigences définies à l’article 39, dans la mesure où les normes applicables couvrent ces exigences.
Article 41 Succursales d’organismes notifiés et sous-traitance par des organismes notifiés
(1) Lorsqu’un organisme notifié sous-traite certaines tâches spécifiques liées à l’évaluation de la conformité ou délègue ces tâches à une filiale, il s’assure que le sous-traitant ou la filiale satisfait aux exigences visées à l’article 39 et en informe l’autorité notifiante.
(2) Les organismes notifiés assument l’entière responsabilité des travaux effectués par des sous-traitants ou des filiales, quel que soit leur lieu d’établissement.
(3) Les travaux ne peuvent être sous-traités ou confiés à une filiale qu’avec l’accord du fabricant.
(4) Les organismes notifiés tiennent à la disposition de l’autorité notifiante les documents pertinents concernant l’évaluation des qualifications du sous-traitant ou de la filiale et le travail qu’ils ont effectué conformément au présent règlement.
Article 42 Demande de notification
(1) Un organisme d’évaluation de la conformité soumet sa notification à l’autorité notifiante de l’État membre dans lequel il est établi.
(2) La demande est accompagnée d’une description des activités d’évaluation de la conformité, de la ou des procédures d’évaluation de la conformité et du ou des produits contenant des éléments numériques pour lesquels cet organisme revendique une compétence et, le cas échéant, d’un certificat d’accréditation délivré par un organisme national d’accréditation attestant que l’organisme d’évaluation de la conformité satisfait aux exigences définies à l’article 39.
(3) Lorsque l’organisme d’évaluation de la conformité ne peut produire un certificat d’accréditation, il présente à l’autorité notifiante, à titre de preuve, tous les documents nécessaires pour vérifier, établir et contrôler régulièrement qu’il satisfait aux exigences définies à l’article 39.
Article 43 Procédure de notification
(1) Les autorités notifiantes ne notifient que les organismes d’évaluation de la conformité qui répondent aux exigences définies à l’article 39.
(2) L’autorité notifiante informe la Commission et les autres États membres au moyen du système d’information sur les organismes notifiés et désignés au titre de la nouvelle approche, mis au point et géré par la Commission.
(3) La notification contient des informations complètes sur les activités d’évaluation de la conformité, le ou les modules d’évaluation de la conformité et les produits contenant des éléments numériques concernés, ainsi que la confirmation pertinente de la compétence.
(4) Lorsqu’une notification n’est pas fondée sur un certificat d’accréditation visé à l’article 42, paragraphe 2, l’autorité notifiante présente à la Commission et aux autres États membres les documents démontrant la compétence de l’organisme d’évaluation de la conformité, ainsi que les dispositions prises pour garantir qu’il sera régulièrement contrôlé et répondra toujours aux exigences visées à l’article 39.
(5) L’organisme concerné ne peut accomplir les tâches d’un organisme notifié que si aucune objection n’a été émise par la Commission ou les autres États membres dans un délai de deux semaines à compter de la notification, en cas de certificat d’accréditation, ou de deux mois à compter de la notification, en l’absence d’accréditation.
Seul un tel organisme est considéré comme un organisme notifié aux fins du présent règlement.
(6) La Commission et les autres États membres sont informés de toute modification pertinente apportée ultérieurement à la notification.
Article 44 Numéros d’identification et listes des organismes notifiés
(1) La Commission attribue un numéro d’identification à chaque organisme notifié.
Même si un organisme est notifié en vertu de plusieurs actes juridiques de l’Union, il ne reçoit qu’un seul numéro d’identification.
(2) La Commission publie la liste des organismes notifiés au titre du présent règlement, ainsi que les numéros d’identification qui leur ont été attribués et les activités pour lesquelles ils ont été notifiés.
La Commission veille à ce que cette liste soit constamment mise à jour.
Article 45 Modifications des notifications
(1) Lorsqu’une autorité notifiante a établi ou a été informée qu’un organisme notifié ne répond plus aux exigences énoncées à l’article 39, ou qu’il ne s’acquitte pas de ses obligations, elle soumet à des restrictions, suspend ou retire la notification, selon le cas, en tenant compte de la mesure dans laquelle ces exigences n’ont pas été respectées ou ces obligations n’ont pas été remplies. Elle en informe immédiatement la Commission et les autres États membres.
(2) En cas de restriction, de suspension ou de retrait de la notification, ou lorsque l’organisme notifié cesse ses activités, l’État membre notifiant prend les mesures appropriées pour que les dossiers de cet organisme soient traités par un autre organisme notifié ou tenus à la disposition des autorités notifiantes et des autorités de surveillance du marché compétentes, à leur demande.
Article 46 Contestation de la compétence des organismes notifiés
(1) La Commission enquête sur tous les cas dans lesquels elle a des doutes ou est informée de doutes quant à la compétence d’un organisme notifié ou au fait qu’un organisme notifié continue à remplir les exigences et les obligations qui lui sont applicables.
(2) L’État membre notifiant fournit à la Commission, sur demande, toutes les informations relatives au fondement de la notification ou au maintien de la compétence de l’organisme concerné.
(3) La Commission veille à ce que toutes les informations sensibles obtenues au cours de ses enquêtes soient traitées de manière confidentielle.
(4) Lorsque la Commission établit qu’un organisme notifié ne répond pas ou ne répond plus aux exigences relatives à sa notification, elle en informe l’État membre notifiant et l’invite à prendre les mesures correctives qui s’imposent, y compris le retrait de la notification, si nécessaire.
Article 47 Obligations opérationnelles des organismes notifiés
(1) Les organismes notifiés effectuent les évaluations de la conformité conformément aux procédures d’évaluation de la conformité visées à l’article 32 et à l’annexe VIII.
(2) Les évaluations de la conformité sont effectuées de manière proportionnée, en évitant d’imposer des charges inutiles aux opérateurs économiques. Les organismes d’évaluation de la conformité exercent leurs activités en tenant dûment compte de la taille des entreprises, notamment en ce qui concerne les micro, petites et moyennes entreprises, du secteur dans lequel elles opèrent, de leur structure, du degré de complexité et du risque de cybersécurité des produits concernés contenant des éléments et des technologies numériques, ainsi que du caractère de production de masse ou de série du processus de fabrication.
(3) Toutefois, les organismes notifiés adoptent à cet égard une approche aussi stricte et maintiennent un niveau de protection aussi élevé que nécessaire pour garantir la conformité des produits contenant des éléments numériques avec le présent règlement.
(4) Lorsqu’un organisme notifié constate qu’un fabricant n’a pas respecté les exigences définies à l’annexe I ou dans les normes harmonisées ou spécifications communes correspondantes visées à l’article 27, il invite le fabricant à prendre les mesures correctives appropriées et ne délivre pas de certificat de conformité.
(5) Lorsqu’un organisme notifié a déjà délivré un certificat et constate, lors du contrôle de la conformité, que le produit numérique ne satisfait plus aux exigences définies dans le présent règlement, il invite le fabricant à prendre les mesures correctives appropriées et suspend ou retire le certificat si nécessaire.
(6) Si aucune mesure corrective n’est prise ou si elles n’ont pas l’effet requis, l’organisme notifié soumet les certificats à des restrictions, les suspend ou les retire, selon le cas.
Article 48 Recours contre les décisions des organismes notifiés
Les États membres veillent à ce qu’une procédure de recours contre les décisions des organismes notifiés soit prévue.
Article 49 Obligations de notification des organismes notifiés
(1) Les organismes notifiés communiquent à l’autorité notifiante
a) tout refus, restriction, suspension ou annulation d’un certificat,
b) toute circonstance ayant une incidence sur le champ d’application et les conditions de la notification,
c) toute demande d’information sur les activités d’évaluation de la conformité reçue de la part des autorités de surveillance du marché,
d) sur demande, les activités d’évaluation de la conformité qu’ils ont menées dans le cadre de leur notification et toute autre activité, y compris les activités et la sous-traitance transfrontalières, qu’ils ont exercées.
(2) Les organismes notifiés communiquent aux autres organismes notifiés au titre du présent règlement qui effectuent des activités similaires d’évaluation de la conformité pour les mêmes produits contenant des éléments numériques les informations pertinentes concernant les résultats négatifs et, sur demande, positifs des évaluations de la conformité.
Article 50 Échange d’expériences
La Commission organise l’échange d’expériences entre les autorités nationales des États membres responsables de la politique de notification.
Article 51 Coordination des organismes désignés
(1) La Commission veille à ce qu’une coordination et une coopération appropriées entre les organismes notifiés soient mises en place et correctement maintenues sous la forme d’un groupe intersectoriel d’organismes notifiés.
(2) Les États membres veillent à ce que les organismes qu’ils ont notifiés participent aux travaux de ce groupe, directement ou par l’intermédiaire de représentants désignés.
Chapitre V Surveillance du marché et application
Article 52 Surveillance du marché et contrôle des produits contenant des éléments numériques sur le marché de l’Union
(1) Le règlement (UE) 2019/1020 s’applique aux produits contenant des éléments numériques qui relèvent du champ d’application du présent règlement.
(2) Chaque État membre désigne une ou plusieurs autorités de surveillance du marché aux fins d’assurer la mise en œuvre effective du présent règlement. Les États membres peuvent désigner une autorité existante ou une nouvelle autorité pour agir en tant qu’autorité de surveillance du marché dans le cadre du présent règlement.
(3) Les autorités de surveillance du marché désignées conformément au paragraphe 2 du présent article sont également chargées d’effectuer des activités de surveillance du marché en rapport avec les obligations imposées aux gestionnaires de logiciels à code source ouvert, visées à l’article 24. Si une autorité de surveillance du marché constate qu’un gestionnaire de logiciel à code source ouvert ne respecte pas les obligations énoncées dans ledit article, elle demande au gestionnaire de logiciel à code source ouvert de veiller à ce que toutes les mesures correctives appropriées soient prises. Les gestionnaires de logiciels à source ouverte veillent, dans le cadre de leurs obligations au titre du présent règlement, à ce que toutes les mesures correctives appropriées soient prises.
(4) Les autorités de surveillance du marché coopèrent, le cas échéant, avec les autorités nationales désignées en vertu de l’article 58 du règlement (UE) 2019/881 pour la certification en matière de cybersécurité et échangent régulièrement des informations avec elles. Lorsqu’elles supervisent la mise en œuvre des obligations de notification visées à l’article 14 du présent règlement, les autorités de surveillance du marché désignées coopèrent et échangent régulièrement des informations avec les CSIRT et l’ENISA désignés comme coordinateurs.
(5) Les autorités de surveillance du marché peuvent demander au CSIRT désigné comme coordonnateur ou à l’ENISA de fournir des conseils techniques sur la mise en œuvre et l’application du présent règlement. Lorsqu’elles mènent une enquête conformément à l’article 54, les autorités de surveillance du marché peuvent demander au CSIRT désigné comme coordonnateur ou à l’ENISA de fournir une analyse à l’appui de l’évaluation de la conformité des produits contenant des éléments numériques.
(6) Les autorités de surveillance du marché coopèrent, le cas échéant, avec d’autres autorités de surveillance du marché désignées en vertu de la législation d’harmonisation de l’Union autre que le présent règlement pour d’autres produits, et échangent régulièrement des informations avec elles.
(7) Les autorités de surveillance du marché coopèrent, le cas échéant, avec les autorités chargées de surveiller l’application de la législation de l’Union en matière de protection des données. Cette coopération comprend la communication à ces autorités de toute information pertinente pour l’exercice de leurs responsabilités, y compris en ce qui concerne la publication de lignes directrices et les conseils visés au paragraphe 10, dans la mesure où ces lignes directrices et conseils concernent le traitement de données à caractère personnel.
Les autorités chargées de surveiller l’application de la législation de l’Union en matière de protection des données sont habilitées à demander tous les documents établis ou conservés en vertu du présent règlement et à y accéder dans la mesure où l’accès à ces documents est nécessaire à l’accomplissement de leurs tâches. Ils informent les autorités de surveillance du marché désignées de l’État membre concerné de toute demande de ce type.
(8) Les États membres veillent à ce que les autorités désignées de surveillance du marché soient dotées de ressources financières et techniques adéquates, y compris, le cas échéant, d’outils d’automatisation des processus, ainsi que de ressources humaines disposant des compétences nécessaires en matière de cybersécurité, afin de pouvoir s’acquitter des tâches qui leur incombent en vertu du présent règlement.
(9) La Commission encourage et facilite l’échange d’expériences entre les autorités désignées de surveillance du marché.
(10) Les autorités de surveillance du marché, assistées par la Commission et, le cas échéant, par les CSIRT et l’ENISA, peuvent fournir aux opérateurs économiques des orientations et des conseils sur la mise en œuvre du présent règlement.
(11) Les autorités de surveillance du marché informent les consommateurs, conformément à l’article 11 du règlement (UE) 2019/1020, du lieu où doivent être déposées les plaintes qui pourraient indiquer un non-respect du présent règlement et fournissent aux consommateurs des informations sur le lieu et les modalités d’accès aux mécanismes destinés à faciliter la notification des vulnérabilités, des incidents de sécurité et des cybermenaces susceptibles d’affecter les produits contenant des éléments numériques.
(12) Les autorités de surveillance du marché doivent, le cas échéant, faciliter la coopération avec les parties prenantes concernées, y compris les organisations scientifiques, de recherche et de consommateurs.
(13) Les autorités de surveillance du marché font rapport annuellement à la Commission sur les résultats de leurs activités respectives de surveillance du marché. Les autorités de surveillance du marché désignées communiquent sans délai à la Commission et aux autorités nationales de concurrence concernées toute information obtenue au cours de leurs activités de surveillance du marché qui pourrait présenter un intérêt pour l’application du droit de la concurrence de l’Union.
(14) En ce qui concerne les produits contenant des éléments numériques relevant du champ d’application du présent règlement et classés comme systèmes d’intelligence artificielle à haut risque conformément à l’article 6 du règlement (UE) 2024/1689, les autorités de surveillance du marché désignées aux fins dudit règlement sont également chargées des activités de surveillance du marché requises par le présent règlement. Les autorités de surveillance du marché désignées en vertu du règlement (UE) 2024/1689 coopèrent, le cas échéant, avec les autorités de surveillance du marché désignées en vertu du présent règlement et, en ce qui concerne la supervision de la mise en œuvre des obligations de notification visées à l’article 14 du présent règlement, avec les CSIRT désignés comme coordinateurs et l’ENISA. Les autorités de surveillance du marché désignées en vertu du règlement (UE) 2024/1689 informent notamment les autorités de surveillance du marché désignées en vertu du présent règlement de toute information pertinente pour l’exercice de leurs fonctions dans le cadre de la mise en œuvre du présent règlement.
(15) En vue de l’application uniforme du présent règlement, l’ADCO est institué conformément à l’article 30, paragraphe 2, du règlement (UE) 2019/1020. L’ADCO se compose de représentants des autorités de surveillance du marché désignées et, le cas échéant, de représentants des bureaux de liaison uniques. L’ADCO traite également des questions spécifiques relatives aux activités de surveillance du marché liées aux obligations des gestionnaires de logiciels à source ouverte.
(16) Les autorités de surveillance du marché contrôlent la manière dont les fabricants ont appliqué les critères visés à l’article 13, paragraphe 8, lors de la détermination de la période de soutien pour leurs produits contenant des éléments numériques.
ADCO publie, sous une forme accessible au public et conviviale, des statistiques pertinentes sur les catégories de produits contenant des éléments numériques, y compris les périodes de soutien moyennes fixées par le fabricant conformément à l’article 13, paragraphe 8, et fournit des orientations indiquant des périodes de soutien indicatives pour les catégories de produits contenant des éléments numériques. Si les données indiquent des périodes de soutien insuffisantes pour certaines catégories de produits numériques, ADCO peut recommander aux autorités de surveillance du marché de concentrer leurs activités sur ces catégories de produits numériques.
Article 53 Accès aux données et à la documentation
Dans la mesure où cela est nécessaire pour évaluer la conformité des produits contenant des éléments numériques et des procédures établies par leurs fabricants avec les exigences essentielles de cybersécurité énoncées à l’annexe I, les autorités de surveillance du marché ont accès, sur demande motivée et dans une langue qu’elles comprennent aisément, aux données nécessaires pour évaluer la conception, le développement, la fabrication et le traitement des vulnérabilités de ces produits, y compris les documents internes concernés de l’opérateur économique concerné.
Article 54 Procédures nationales pour les produits contenant des éléments numériques qui présentent un risque important en matière de cybersécurité
(1) Lorsque l’autorité de surveillance du marché d’un État membre a des raisons suffisantes de penser qu’un produit contenant des éléments numériques, y compris le traitement des vulnérabilités, présente un risque important en matière de cybersécurité, elle procède sans tarder, le cas échéant en coopération avec le CSIRT concerné, à une évaluation de la conformité du produit en question avec les exigences définies dans le présent règlement. Les opérateurs économiques concernés coopèrent avec l’autorité de surveillance du marché dans la mesure nécessaire.
Si, au cours de cette évaluation, l’autorité de surveillance du marché conclut que le produit numérique ne respecte pas les exigences du présent règlement, elle invite immédiatement l’opérateur économique concerné à prendre toutes les mesures correctives appropriées pour mettre le produit numérique en conformité avec ces exigences, le retirer du marché ou le rappeler dans le délai fixé par l’autorité de surveillance du marché et proportionné à la nature du risque de cybersécurité. L’autorité de surveillance du marché en informe l’organisme notifié concerné. L’article 18 du règlement (UE) 2019/1020 s’applique aux mesures correctives.
(2) Lorsqu’elles déterminent l’importance d’un risque de cybersécurité conformément au paragraphe 1, les autorités de surveillance du marché tiennent également compte des facteurs de risque non techniques, en particulier ceux qui ont été identifiés à la suite d’évaluations coordonnées des risques en matière de sécurité de la chaîne d’approvisionnement au niveau de l’Union, conformément à l’article 22 de la directive (UE) 2022/2555. Lorsqu’une autorité de surveillance du marché a des raisons suffisantes de penser que, compte tenu des facteurs de risque non techniques, un produit contenant des éléments numériques présente un risque important pour la cybersécurité, elle en informe les autorités compétentes désignées ou mises en place conformément à l’article 8 de la directive (UE) 2022/2555 et coopère avec ces autorités si nécessaire.
(3) Lorsque l’autorité de surveillance du marché constate que la non-conformité n’est pas limitée à son territoire national, elle informe la Commission et les autres États membres des résultats de son examen et des mesures qu’elle a prescrites à l’opérateur économique.
(4) L’opérateur économique s’assure que toutes les mesures correctives appropriées sont prises en ce qui concerne tous les produits concernés contenant des éléments numériques qu’il a mis à disposition sur le marché de l’Union.
(5) Lorsque l’opérateur économique ne prend pas de mesures correctives appropriées dans le délai visé au paragraphe 1, deuxième alinéa, les autorités de surveillance du marché adoptent toutes les mesures provisoires appropriées pour interdire ou restreindre la mise à disposition du produit contenant des éléments numériques sur leur marché national, pour le retirer de ce marché ou pour le rappeler.
Cette autorité notifie immédiatement ces mesures à la Commission et aux autres États membres.
(6) Les informations visées au paragraphe 5 contiennent toutes les précisions disponibles, notamment les données nécessaires à l’identification du produit numérique non conforme, l’origine de ce produit numérique, la nature de la non-conformité alléguée et le risque associé, ainsi que la nature et la durée des mesures nationales adoptées et les arguments avancés par l’opérateur économique concerné. L’autorité de surveillance du marché indique notamment si la non-conformité a une ou plusieurs des causes suivantes :
a) le produit contenant des éléments numériques ou les procédures établies par le fabricant ne sont pas conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I
b) des lacunes dans les normes harmonisées, les schémas européens de certification de la cybersécurité ou les spécifications communes visées à l’article 27.
(7) Les autorités de surveillance du marché des États membres autres que celle qui a engagé la procédure informent immédiatement la Commission et les autres États membres de toute mesure prise et de toute information supplémentaire dont elles disposent concernant la non-conformité du produit numérique en question, et de leurs objections en cas de refus de la mesure nationale qui leur a été notifiée.
(8) Si, dans un délai de trois mois à compter de la réception de la notification visée au paragraphe 5 du présent article, ni un État membre ni la Commission ne s’opposent à une mesure provisoire prise par un État membre, cette mesure est réputée justifiée. Cela ne porte pas atteinte aux droits procéduraux de l’opérateur économique concerné visés à l’article 18 du règlement (UE) 2019/1020.
(9) Les autorités de surveillance du marché de tous les États membres veillent à ce que des mesures restrictives appropriées soient prises immédiatement à l’égard du produit numérique en question, par exemple en retirant ce produit de leur marché.
Article 55 Procédure de la clause de sauvegarde de l’Union
(1) Lorsque, dans un délai de trois mois à compter de la réception de la notification visée à l’article 54, paragraphe 5, un État membre soulève des objections à l’encontre d’une mesure prise par un autre État membre, ou lorsque la Commission considère que la mesure est incompatible avec le droit de l’Union, la Commission entame immédiatement des consultations avec l’État membre ou l’opérateur économique concerné et examine la mesure nationale. En fonction des résultats de cet examen, la Commission détermine, dans un délai de neuf mois à compter de la réception de la notification visée à l’article 54, paragraphe 5, si la mesure nationale est justifiée ou non et informe l’État membre concerné de sa décision.
(2) Si elle considère que la mesure nationale est justifiée, tous les États membres prennent les mesures nécessaires pour garantir le retrait de leur marché du produit non conforme contenant des éléments numériques et en informent la Commission. Si la mesure nationale est jugée non justifiée, l’État membre concerné doit la retirer.
(3) Si la mesure nationale est jugée justifiée et que la non-conformité du produit contenant des éléments numériques est attribuée à des lacunes dans les normes harmonisées, la Commission lance la procédure prévue à l’article 11 du règlement (UE) n° 1025/2012.
(4) Lorsque la mesure nationale est jugée justifiée et que la non-conformité du produit contenant des éléments numériques est attribuée à des lacunes dans un schéma européen de certification de la cybersécurité visé à l’article 27, la Commission examine s’il y a lieu de modifier ou d’abroger un acte délégué adopté conformément à l’article 27, paragraphe 9, qui établit une présomption de conformité en ce qui concerne ce schéma de certification.
(5) Lorsque la mesure nationale est jugée justifiée et que la non-conformité du produit numérique est attribuée à des lacunes des spécifications communes visées à l’article 27, la Commission examine s’il y a lieu de modifier ou d’abroger un acte d’exécution adopté conformément à l’article 27, paragraphe 2, qui établit les spécifications communes.
Article 56 Procédure au niveau de l’Union pour les produits contenant des éléments numériques qui présentent un risque important en matière de cybersécurité
(1) Lorsque la Commission a des raisons suffisantes de croire, y compris sur la base d’informations fournies par l’ENISA, qu’un produit contenant des éléments numériques présentant un risque important pour la cybersécurité n’est pas conforme aux exigences du présent règlement, elle en informe les autorités de surveillance du marché concernées. Lorsque les autorités de surveillance du marché procèdent à une évaluation de la conformité de ce produit contenant des éléments numériques qui peut présenter un risque important pour la cybersécurité en ce qui concerne sa conformité aux exigences du présent règlement, les procédures visées aux articles 54 et 55 s’appliquent.
(2) Si la Commission a des raisons suffisantes de penser qu’un produit contenant des éléments numériques présente un risque important pour la cybersécurité, compte tenu de facteurs de risque non techniques, elle en informe les autorités de surveillance du marché concernées et, le cas échéant, les autorités compétentes désignées ou mises en place conformément à l’article 8 de la directive (UE) 2022/2555, et coopère avec ces autorités si nécessaire. La Commission examine également la pertinence des risques identifiés pour ce produit contenant des éléments numériques au regard de ses tâches liées aux évaluations coordonnées des risques en matière de sécurité de la chaîne d’approvisionnement au niveau de l’Union, conformément à l’article 22 de la directive (UE) 2022/2555, et consulte, si nécessaire, le groupe de coopération institué par l’article 14 de la directive (UE) 2022/2555 et l’ENISA.
(3) Dans des circonstances justifiant une action immédiate afin de préserver le bon fonctionnement du marché intérieur et lorsqu’elle a des raisons suffisantes de penser que le produit numérique visé au paragraphe 1 n’est toujours pas conforme aux exigences du présent règlement et que les autorités de surveillance du marché concernées n’ont pas pris de mesures efficaces, la Commission procède à une évaluation de la conformité et peut demander à l’ENISA d’effectuer une analyse pour étayer cette évaluation. La Commission en informe les autorités de surveillance du marché concernées. Les opérateurs économiques concernés coopèrent avec l’ENISA dans la mesure nécessaire.
(4) Sur la base de l’évaluation visée au paragraphe 3, la Commission peut conclure à la nécessité d’une action corrective ou d’une mesure restrictive au niveau de l’Union. cette fin, elle consulte immédiatement les États membres et le ou les opérateurs économiques concernés.
(5) Sur la base de la consultation visée au paragraphe 4 du présent article, la Commission peut adopter des actes d’exécution concernant des mesures correctives ou des mesures restrictives au niveau de l’Union, y compris l’exigence du retrait du marché ou du rappel des produits concernés contenant des éléments numériques dans un délai proportionné à la nature du risque. Ces actes d’exécution sont adoptés conformément à la procédure d’examen visée à l’article 62, paragraphe 2.
(6) La Commission informe sans délai le ou les opérateurs économiques concernés des actes d’exécution visés au paragraphe 5. Les États membres mettent en œuvre ces actes d’exécution sans délai et en informent la Commission.
(7) Les paragraphes 3 à 6 s’appliquent pendant la durée des circonstances exceptionnelles qui ont justifié l’intervention de la Commission, tant que la conformité du produit numérique concerné avec le présent règlement n’a pas été établie.
Article 57 Produits conformes contenant des éléments numériques qui présentent un risque important en matière de cybersécurité
(1) L’autorité de surveillance du marché d’un État membre invite un opérateur économique à prendre toutes les mesures appropriées si, à la suite d’une évaluation effectuée conformément à l’article 54, elle constate qu’un produit contenant des éléments numériques et les procédures établies par le fabricant, bien que conformes au présent règlement, présentent un risque important en matière de cybersécurité ainsi que les risques suivants :
a) Risque pour la santé ou la sécurité des personnes,
b) Risque pour le respect des obligations découlant du droit de l’Union ou du droit national en matière de protection des droits fondamentaux,
c) risque pour la disponibilité, l’authenticité, l’intégrité ou la confidentialité des services fournis par le biais d’un système électronique d’information par des entités essentielles visées à l’article 3, paragraphe 1, de la directive (UE) 2022/2555 ; ou
d) Risque pour d’autres aspects de la protection des intérêts publics.
Les mesures visées au premier alinéa peuvent comprendre des mesures visant à garantir que le produit numérique en question et les procédures établies par le fabricant ne présentent plus les risques pertinents lorsque le produit numérique en question est mis à disposition sur le marché, retiré du marché ou rappelé, et sont proportionnées à la nature de ces risques.
(2) Le fabricant ou tout autre opérateur économique concerné veille à ce que des mesures correctives soient prises, dans le délai fixé par l’autorité de surveillance du marché de l’État membre visé au paragraphe 1, à l’égard de tous les produits concernés contenant des éléments numériques qu’il a mis à disposition sur le marché de l’Union.
(3) L’État membre informe immédiatement la Commission et les autres États membres de toute mesure prise en vertu du paragraphe 1. Ces informations contiennent tous les détails disponibles, notamment les données permettant d’identifier le produit numérique concerné, son origine et sa chaîne d’approvisionnement, la nature du risque associé ainsi que la nature et la durée des mesures nationales adoptées.
(4) La Commission consulte immédiatement les États membres et l’opérateur économique concerné et procède à l’examen des mesures nationales adoptées. En fonction des résultats de cet examen, la Commission décide si la mesure est justifiée ou non et, si nécessaire, propose des mesures appropriées.
(5) La Commission adresse aux États membres la décision visée au paragraphe 4.
(6) Lorsque la Commission a des raisons suffisantes de croire, y compris sur la base d’informations fournies par l’ENISA, qu’un produit contenant des éléments numériques, bien que conforme au présent règlement, présente les risques visés au paragraphe 1 du présent article, elle en informe la ou les autorités de surveillance du marché concernées et peut leur demander de procéder à une évaluation et d’appliquer les procédures visées à l’article 54 et aux paragraphes 1, 2 et 3 du présent article.
(7) Dans des circonstances justifiant une action immédiate afin de préserver le bon fonctionnement du marché intérieur et lorsque la Commission a des raisons suffisantes de penser que le produit numérique visé au paragraphe 6 présente toujours les risques visés au paragraphe 1 et que les autorités de surveillance du marché concernées n’ont pas pris de mesures efficaces, la Commission procède à une évaluation des risques que présente ce produit numérique et peut demander à l’ENISA de réaliser une analyse à l’appui de cette évaluation et en informe les autorités de surveillance du marché concernées. Les opérateurs économiques concernés coopèrent avec l’ENISA dans la mesure nécessaire.
(8) Sur la base de l’évaluation visée au paragraphe 7, la Commission peut conclure à la nécessité d’une action corrective ou d’une mesure restrictive au niveau de l’Union. cette fin, elle consulte immédiatement les États membres et le ou les opérateurs économiques concernés.
(9) Sur la base de la consultation visée au paragraphe 8 du présent article, la Commission peut adopter des actes d’exécution concernant des mesures correctives ou des mesures restrictives au niveau de l’Union, y compris l’exigence du retrait du marché ou du rappel des produits concernés contenant des éléments numériques dans un délai proportionné à la nature du risque. Ces actes d’exécution sont adoptés conformément à la procédure d’examen visée à l’article 62, paragraphe 2.
(10) La Commission informe sans délai le ou les opérateurs économiques concernés des actes d’exécution visés au paragraphe 9. Les États membres mettent en œuvre ces actes d’exécution sans délai et en informent la Commission.
(11) Les paragraphes 6 à 10 s’appliquent pendant la durée des circonstances exceptionnelles qui ont justifié l’intervention de la Commission et aussi longtemps que le produit numérique concerné continue de présenter les risques visés au paragraphe 1.
Article 58 Non-conformité formelle
(1) Lorsque l’autorité de surveillance du marché d’un État membre fait l’une des constatations suivantes, elle demande au fabricant concerné de remédier à la non-conformité en question :
a) le marquage “CE” a été apposé en violation des articles 29 et 30 ;
b) le marquage CE n’a pas été apposé
c) la déclaration de conformité UE n’a pas été délivrée ;
d) la déclaration de conformité UE n’a pas été établie correctement ;
e) le numéro d’identification de l’organisme notifié éventuellement intervenu dans la procédure d’évaluation de la conformité n’a pas été apposé ;
f) la documentation technique n’est pas disponible ou n’est pas complète.
(2) Si la non-conformité visée au paragraphe 1 persiste, l’État membre concerné prend toutes les mesures appropriées pour restreindre ou interdire la mise à disposition sur le marché du produit contenant des éléments numériques ou pour assurer son rappel ou son retrait du marché.
Article 59 Activités conjointes des autorités de surveillance du marché
(1) Les autorités de surveillance du marché peuvent convenir avec d’autres autorités compétentes de mener des activités conjointes afin d’assurer la cybersécurité et la protection des consommateurs en ce qui concerne des produits spécifiques contenant des éléments numériques qui sont commercialisés ou mis à disposition sur le marché, notamment en ce qui concerne les produits contenant des éléments numériques pour lesquels des risques de cybersécurité sont fréquemment identifiés.
(2) La Commission ou l’ENISA proposent des activités conjointes de vérification du respect du présent règlement, à mener par les autorités de surveillance du marché sur la base d’indications ou d’informations selon lesquelles des produits contenant des éléments numériques relevant du champ d’application du présent règlement pourraient ne pas être conformes aux exigences du présent règlement dans plusieurs États membres.
(3) Les autorités de surveillance du marché et, le cas échéant, la Commission veillent à ce que l’accord d’activités communes n’entraîne pas de concurrence déloyale entre opérateurs économiques et ne compromette pas l’objectivité, l’indépendance ou l’impartialité des parties à l’accord.
(4) Une autorité de surveillance du marché peut utiliser toute information obtenue dans le cadre d’activités conjointes faisant partie d’une enquête qu’elle a menée.
(5) L’autorité de surveillance du marché concernée et, le cas échéant, la Commission mettent à la disposition du public l’accord relatif aux activités communes, y compris les noms des parties concernées.
Article 60 Contrôles coordonnés (balayages)
(1) Les autorités de surveillance du marché procèdent à des contrôles coordonnés simultanés (“balayages”) de certains produits contenant des éléments numériques afin de vérifier le respect du présent règlement ou de détecter des infractions à celui-ci. Ces balayages peuvent également inclure l’inspection de produits contenant des éléments numériques achetés sous une fausse identité.
(2) Sauf accord contraire entre les autorités de surveillance du marché concernées, ces balayages sont coordonnés par la Commission. Le coordinateur du balayage publie les résultats agrégés, le cas échéant.
(3) Si, dans l’exercice de ses fonctions, l’ENISA détermine, notamment sur la base des notifications reçues conformément à l’article 14, paragraphes 1 et 3, des catégories de produits contenant des éléments numériques pour lesquelles des balayages peuvent être organisés, elle soumet une proposition de balayages au coordonnateur visé au paragraphe 2 du présent article, pour examen par les autorités de surveillance du marché.
(4) Lorsqu’elles procèdent à des balayages, les autorités de surveillance du marché concernées peuvent faire usage des pouvoirs d’enquête prévus aux articles 52 à 58 et de tout autre pouvoir qui leur est conféré par le droit national.
(5) Les autorités de surveillance du marché peuvent inviter des fonctionnaires de la Commission et d’autres accompagnateurs autorisés par la Commission à participer à des balayages.
Chapitre VI Délégation de pouvoirs et procédure de comité
Article 61 Exercice de la délégation de pouvoir
(1) Le pouvoir d’adopter des actes délégués est conféré à la Commission, sous réserve des conditions fixées par le présent article.
(2) Le pouvoir d’adopter des actes délégués visé à l’article 2, paragraphe 5, deuxième alinéa, à l’article 7, paragraphe 3, à l’article 8, paragraphes 1 et 2, à l’article 13, paragraphe 8, quatrième alinéa, à l’article 14, paragraphe 9, à l’article 25, à l’article 27, paragraphe 9, à l’article 28, paragraphe 5, et à l’article 31, paragraphe 5, est conféré à la Commission pour une période de cinq ans à compter du 10 décembre 2024. La Commission élabore un rapport relatif à la délégation de pouvoir au plus tard neuf mois avant la fin de la période de cinq ans. La délégation de pouvoir est tacitement reconduite pour des périodes d’une durée identique, sauf si le Parlement européen ou le Conseil s’oppose à cette reconduction trois mois au moins avant la fin de la période concernée.
(3) La délégation de pouvoir visée à l’article 2, paragraphe 5, deuxième alinéa, à l’article 7, paragraphe 3, à l’article 8, paragraphes 1 et 2, à l’article 13, paragraphe 8, quatrième alinéa, à l’article 14, paragraphe 9, à l’article 25, à l’article 27, paragraphe 9, à l’article 28, paragraphe 5, et à l’article 31, paragraphe 5, peut être révoquée à tout moment par le Parlement européen ou le Conseil. La décision de révocation met fin à la délégation du pouvoir spécifié dans cette décision. Elle prend effet le jour suivant celui de sa publication au Journal officiel de l’Union européenne ou à une date ultérieure précisée dans la décision de révocation. La décision de révocation n’affecte pas la validité des actes délégués déjà en vigueur.
(4) Avant d’adopter un acte délégué, la Commission consulte les experts désignés par chaque État membre, conformément aux principes énoncés dans l’accord interinstitutionnel “Mieux légiférer” du 13 avril 2016.
(5) Dès que la Commission adopte un acte délégué, elle le transmet simultanément au Parlement européen et au Conseil.
(6) Un acte délégué adopté en vertu de l’article 2, paragraphe 5, deuxième alinéa, de l’article 7, paragraphe 3, de l’article 8, paragraphes 1 ou 2, de l’article 13, paragraphe 8, quatrième alinéa, de l’article 14, paragraphe 9, de l’article 25, de l’article 27, paragraphe 9, de l’article 28, paragraphe 5, ou de l’article 31, paragraphe 5, n’entre en vigueur que si ni le Parlement européen ni le Conseil n’ont exprimé d’objections dans un délai de deux mois à compter de la notification dudit acte au Parlement européen et au Conseil ou si, avant l’expiration de ce délai, le Parlement européen et le Conseil ont tous deux informé la Commission de leur intention de ne pas exprimer d’objections. l’initiative du Parlement européen ou du Conseil, ce délai est prolongé de deux mois.
Article 62 Procédure de comité
(1) La Commission est assistée par un comité. Ce comité est un comité au sens du règlement (UE) no 182/2011.
(2) Dans le cas où il est fait référence au présent paragraphe, l’article 5 du règlement (UE) n° 182/2011 s’applique.
(3) Lorsque l’avis du comité est recueilli par procédure écrite, la procédure est close sans résultat si la présidence du comité en décide ainsi dans le délai imparti pour rendre l’avis ou si un membre du comité le demande.
Chapitre VII Confidentialité et sanctions
Article 63 Confidentialité
(1) Toutes les parties concernées par l’application du présent règlement respectent la confidentialité des informations et des données dont elles prennent connaissance dans l’exercice de leurs fonctions et activités, et protègent notamment
a) les droits de propriété intellectuelle, les informations commerciales confidentielles ou les secrets d’affaires de personnes physiques ou morales, y compris le code source, à l’exception des cas visés à l’article 5 de la directive (UE) 2016/943 du Parlement européen et du Conseil (37),
b) la mise en œuvre effective du présent règlement, notamment aux fins d’inspection, d’enquête ou d’audit,
c) les intérêts de la sécurité publique et nationale,
d) l’intégrité des procédures pénales ou administratives.
(2) Sans préjudice du paragraphe 1, les informations que les autorités de surveillance du marché ont échangées entre elles ou avec la Commission à titre confidentiel ne sont pas divulguées sans l’accord préalable de l’autorité de surveillance du marché qui a fourni ces informations.
(3) Les paragraphes 1 et 2 n’affectent pas les droits et obligations de la Commission, des États membres et des organismes notifiés en matière d’échange d’informations et de diffusion des alertes, ni les obligations des personnes concernées de fournir des informations sur la base du droit pénal des États membres.
(4) La Commission et les États membres peuvent, si nécessaire, échanger des informations sensibles avec les autorités compétentes des pays tiers avec lesquels ils ont conclu des accords de confidentialité bilatéraux ou multilatéraux et qui assurent un niveau de protection adéquat.
Article 64 Sanctions
(1) Les États membres déterminent le régime des sanctions applicables aux violations des dispositions du présent règlement et prennent toute mesure nécessaire pour assurer la mise en œuvre de celles-ci. Les sanctions ainsi prévues doivent être effectives, proportionnées et dissuasives. Les États membres notifient ces dispositions et mesures à la Commission sans délai et l’informent de toute modification ultérieure les concernant.
(2) Le non-respect des exigences essentielles de cybersécurité énoncées à l’annexe I ou des obligations prévues aux articles 13 et 14 entraîne l’imposition d’amendes pouvant aller jusqu’à 15 000 000 EUR ou, dans le cas des entreprises, jusqu’à 2,5 % du chiffre d’affaires annuel mondial total réalisé au cours de l’exercice précédent, le montant le plus élevé étant retenu.
(3) En cas de non-respect des obligations prévues aux articles 18 à 23, à l’article 28, à l’article 30, paragraphes 1 à 4, à l’article 31, paragraphes 1 à 4, à l’article 32, paragraphes 1, 2 et 3, à l’article 33, paragraphe 5, et aux articles 39, 41, 47, 49 et 53, des amendes pouvant atteindre 10 000 000 EUR ou, dans le cas d’une entreprise, 2 % du chiffre d’affaires annuel total réalisé au niveau mondial au cours de l’exercice précédent, le montant le plus élevé étant retenu, sont infligées.
(4) Le fait de fournir des informations fausses, incomplètes ou trompeuses aux organismes notifiés et aux autorités de surveillance du marché qui en font la demande est passible d’amendes pouvant atteindre 5 000 000 EUR ou, dans le cas d’une entreprise, 1 % du chiffre d’affaires annuel total réalisé au niveau mondial au cours de l’exercice précédent, le montant le plus élevé étant retenu.
(5) Pour déterminer le montant de l’amende, il est dûment tenu compte, dans chaque cas, de toutes les circonstances pertinentes de la situation concrète, ainsi que des éléments suivants :
a) la nature, la gravité et la durée de l’infraction et ses conséquences,
b) si des amendes ont déjà été infligées au même opérateur économique par les mêmes autorités de surveillance du marché ou par d’autres autorités de surveillance du marché pour une infraction similaire,
c) la taille, notamment en ce qui concerne les micro, petites et moyennes entreprises, y compris les start-up, et la part de marché de l’opérateur économique qui a commis l’infraction.
(6) Les autorités de surveillance du marché qui imposent des amendes informent les autorités de surveillance du marché des autres États membres de l’imposition d’une amende au moyen du système d’information et de communication visé à l’article 34 du règlement (UE) 2019/1020.
(7) Chaque État membre adopte des règles précisant si et dans quelle mesure des amendes peuvent être infligées aux autorités et organismes publics établis dans cet État membre.
(8) En fonction du système juridique de l’État membre concerné, les règles relatives aux amendes peuvent être appliquées de manière à ce que les amendes soient infligées par les juridictions nationales compétentes ou par d’autres instances, conformément à la répartition des compétences établie au niveau national dans les États membres. L’application de ces règles dans ces États membres doit avoir un effet équivalent.
(9) Des amendes peuvent être imposées, selon les circonstances de chaque cas, en plus d’autres mesures correctives ou restrictives imposées par les autorités de surveillance du marché pour la même infraction.
(10) Par dérogation aux paragraphes 3 à 9, les amendes visées dans ces paragraphes ne s’appliquent pas
a) les producteurs considérés comme des micro ou des petites entreprises, en ce qui concerne le non-respect du délai visé à l’article 14, paragraphe 2, point a), ou à l’article 14, paragraphe 4, point a),
b) les administrateurs de logiciels à code source ouvert pour toute violation du présent règlement.
Article 65 Actions collectives
La directive (UE) 2020/1828 s’applique aux actions collectives intentées contre les infractions commises par des opérateurs économiques aux dispositions du présent règlement qui portent atteinte ou risquent de porter atteinte aux intérêts collectifs des consommateurs.
Chapitre VIII Dispositions transitoires et finales
Article 66 Modification du règlement (UE) 2019/1020
l’annexe I du règlement (UE) 2019/1020, le point suivant est ajouté : “72. Règlement (UE) 2024/2847 du Parlement européen et du Conseil (*1).
Article 67 Modification de la directive (UE) 2020/1828
Le point suivant est ajouté à l’annexe I de la directive (UE) 2020/1828 : “(69) Règlement (UE) 2024/2847 du Parlement européen et du Conseil (*2).
Article 68 Modifications du règlement (UE) n° 168/2013
l’annexe II, partie C1, du règlement (UE) no 168/2013 du Parlement européen et du Conseil (38), l’entrée suivante est ajoutée au tableau : “[…]”
Article 69 Dispositions transitoires
(1) Les attestations d’examen de type et les approbations de l’Union délivrées en ce qui concerne les exigences de cybersécurité applicables aux produits contenant des éléments numériques soumis à une législation d’harmonisation de l’Union autre que le présent règlement restent valables jusqu’au 11 juin 2028, sauf si elles expirent avant cette date ou si une autre législation d’harmonisation de l’Union en dispose autrement, auquel cas elles restent valables conformément à cette dernière législation.
(2) Les produits contenant des éléments numériques qui ont été mis sur le marché avant le 11 décembre 2027 ne sont soumis aux exigences prévues par le présent règlement que si, après cette date, ces produits font l’objet d’une modification substantielle.
(3) Par dérogation au paragraphe 2 du présent article, les obligations énoncées à l’article 14 s’appliquent à tous les produits contenant des éléments numériques qui relèvent du champ d’application du présent règlement et qui ont été mis sur le marché avant le 11 décembre 2027.
Article 70 Évaluation et réexamen
(1) Au plus tard le 11 décembre 2030, puis tous les quatre ans, la Commission présente au Parlement européen et au Conseil un rapport d’évaluation et de réexamen du présent règlement. Ces rapports sont rendus publics.
(2) Au plus tard le 11 septembre 2028, la Commission, après avoir consulté l’ENISA et le réseau des CSIRT, présente au Parlement européen et au Conseil un rapport évaluant l’efficacité de la plate-forme de notification unique visée à l’article 16, ainsi que l’incidence de l’invocation des motifs de cybersécurité visés à l’article 16, paragraphe 2, par les CSIRT désignés comme coordinateurs, sur l’efficacité de la plate-forme de notification unique en ce qui concerne la transmission en temps utile des notifications reçues aux autres CSIRT concernés.
Article 71 Entrée en vigueur et date d’application
(1) Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.
(2) Toutefois, l’article 14 s’applique à compter du 11 septembre 2026 et le chapitre IV (articles 35 à 51) s’applique à compter du 11 juin 2026. Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.
Annexes
Annexe I Exigences de base en matière de cybersécurité
Partie I Exigences de cybersécurité relatives aux caractéristiques des produits contenant des éléments numériques
(1) Les produits contenant des éléments numériques sont conçus, développés et fabriqués de manière à garantir un niveau de cybersécurité adéquat compte tenu des risques encourus.
(2) Sur la base de l’évaluation des risques de cybersécurité visée à l’article 13, paragraphe 2, les produits contenant des éléments numériques, le cas échéant,
a) être mis à disposition sur le marché sans vulnérabilités exploitables connues,
b) être mis à disposition sur le marché avec une configuration standard sécurisée, sauf accord contraire entre le fabricant et l’utilisateur professionnel en ce qui concerne un produit sur mesure contenant des éléments numériques, et offrir la possibilité de rétablir le produit dans son état initial,
c) veiller à ce que les vulnérabilités puissent être corrigées par des mises à jour de sécurité, y compris, le cas échéant, par des mises à jour de sécurité automatiques installées par défaut dans un délai raisonnable, et disposer d’un mécanisme de refus clair et convivial permettant aux utilisateurs d’être informés des mises à jour disponibles et de les reporter temporairement ;
d) offrent une protection contre les accès non autorisés grâce à des mécanismes de contrôle appropriés, y compris, au minimum, des systèmes d’authentification, d’identité ou de gestion des accès, et signalent tout accès non autorisé éventuel,
e) protéger la confidentialité des données à caractère personnel ou autres qui sont stockées, transmises ou traitées d’une autre manière, par exemple en cryptant les données pertinentes qui sont stockées ou en cours d’utilisation ou de transmission, en utilisant des mécanismes de pointe et en recourant à d’autres moyens techniques,
f) protéger l’intégrité des données stockées, transmises ou traitées d’une autre manière, qu’il s’agisse de données à caractère personnel ou autre, de commandes, de programmes et de configurations contre toute manipulation ou modification non autorisée par l’utilisateur, et signaler toute détérioration de celles-ci
g) limiter le traitement des données à caractère personnel ou d’autres données à celles qui sont adéquates et pertinentes et à celles qui sont nécessaires à la finalité du produit contenant des éléments numériques (“minimisation des données”),
h) assurer la disponibilité des fonctions essentielles et de base, même après un incident de sécurité, y compris par des mesures de défense et de confinement contre les attaques par saturation des serveurs (attaques par déni de service),
i) minimiser l’impact négatif des produits eux-mêmes ou des appareils en réseau sur la disponibilité des services fournis par d’autres appareils ou réseaux,
j) être conçus, développés et fabriqués de manière à offrir le moins de surfaces d’attaque possible, y compris pour les interfaces externes
k) être conçus, développés et fabriqués de manière à réduire l’impact d’un incident de sécurité par des mécanismes et des techniques appropriés visant à en atténuer l’exploitation potentielle,
l) fournir des informations relatives à la sécurité en enregistrant et/ou en surveillant les opérations internes pertinentes, telles que l’accès aux données, aux services ou aux fonctionnalités et les modifications apportées à ceux-ci, et en mettant à la disposition des utilisateurs un mécanisme d’opt-out,
m) offrir aux utilisateurs la possibilité d’effacer de manière permanente, sûre et simple toutes les données et tous les paramètres et, si ces données peuvent être transférées vers d’autres produits ou systèmes, veiller à ce que cela se fasse de manière sécurisée.
Partie II Exigences en matière de traitement des vulnérabilités
Les fabricants de produits contenant des éléments numériques doivent
(1) Identifier et documenter les points faibles et les composants des produits à l’aide d’éléments numériques, notamment en créant une nomenclature logicielle dans un format courant lisible par une machine, qui indique au moins les dépendances de haut niveau des produits ;
(2) en ce qui concerne les risques liés aux produits contenant des éléments numériques, traiter et corriger sans délai les vulnérabilités, y compris en fournissant des mises à jour de sécurité ; dans la mesure où cela est techniquement possible, les nouvelles mises à jour de sécurité doivent être fournies séparément des mises à jour fonctionnelles ;
(3) tester et vérifier régulièrement et efficacement la sécurité du produit avec des éléments numériques ;
(4) dès qu’une mise à jour de sécurité a été fournie, partager et publier des informations sur les vulnérabilités corrigées, y compris une description des vulnérabilités avec des informations permettant aux utilisateurs d’identifier le produit numérique concerné, l’impact des vulnérabilités et leur gravité, ainsi que des informations claires et compréhensibles pour aider les utilisateurs à remédier aux vulnérabilités ; dans des cas dûment justifiés, lorsque les fabricants estiment que les risques liés à la publication l’emportent sur les avantages en termes de sécurité, ils peuvent différer la publication d’informations sur une vulnérabilité corrigée jusqu’à ce que les utilisateurs aient eu la possibilité d’appliquer le correctif correspondant ;
(5) élaborer et mettre en œuvre une stratégie de divulgation coordonnée des vulnérabilités ;
(6) prendre des mesures pour faciliter l’échange d’informations sur les vulnérabilités éventuelles de leur produit contenant des éléments numériques et des composants de tiers qu’il contient, notamment en indiquant une adresse de contact pour le signalement des vulnérabilités découvertes dans le produit contenant des éléments numériques ;
(7) fournir des mécanismes de diffusion sécurisée des mises à jour pour les produits contenant des éléments numériques, de manière à ce que les vulnérabilités soient corrigées ou contenues en temps utile et, le cas échéant, automatiquement en cas de mise à jour de la sécurité ;
(8) veiller à ce que les mises à jour de sécurité disponibles pour résoudre les problèmes de sécurité identifiés soient diffusées rapidement et, sauf accord contraire entre le fabricant et l’utilisateur professionnel en ce qui concerne un produit sur mesure contenant des éléments numériques, gratuitement, accompagnées d’instructions et d’informations pertinentes, y compris sur les mesures éventuelles à prendre.
Annexe II Informations et instructions pour l’utilisateur
Le produit contenant des éléments numériques doit être accompagné au minimum des éléments suivants :
1.le nom, le nom commercial enregistré ou la marque commerciale enregistrée du fabricant, l’adresse postale, l’adresse électronique ou tout autre moyen de contact numérique et, le cas échéant, le site web sur lequel le fabricant peut être contacté ;
2.le point de contact central où peuvent être signalées et reçues les informations sur les vulnérabilités du produit contenant des éléments numériques et où l’on peut trouver l’approche de la divulgation coordonnée des vulnérabilités ;
3.le nom et le type, ainsi que toute information supplémentaire permettant d’identifier clairement le produit avec des éléments numériques
4.la destination du produit avec des éléments numériques, y compris l’environnement de sécurité fourni par le fabricant, ainsi que les principales fonctions du produit et des informations sur les caractéristiques de sécurité ;
5.toute circonstance connue ou prévisible liée à l’utilisation prévue du produit contenant des éléments numériques ou à sa mauvaise utilisation raisonnablement prévisible, susceptible d’entraîner des risques importants en matière de cybersécurité ;
6.le cas échéant, l’adresse internet à laquelle la déclaration de conformité UE peut être consultée ;
7.le type d’assistance technique à la sécurité proposé par le fabricant et la date de fin de la période d’assistance pendant laquelle les utilisateurs peuvent s’attendre à la correction des vulnérabilités et à la réception de mises à jour de sécurité ;
8.des instructions détaillées ou une adresse Internet renvoyant à de telles instructions et informations détaillées,
a) les mesures à prendre lors de la première mise en service et tout au long du cycle de vie du produit contenant des éléments numériques afin de garantir son utilisation en toute sécurité,
b) comment les modifications apportées au produit contenant des éléments numériques peuvent avoir une incidence sur la sécurité des données,
c) comment installer les mises à jour liées à la sécurité,
d) comment procéder à une mise hors service sécurisée du produit avec des éléments numériques et comment supprimer en toute sécurité les données des utilisateurs ;
e) comment désactiver le paramètre par défaut qui permet l’installation automatique des mises à jour de sécurité, conformément à l’annexe I, partie I, point c) ;
f) comment l’intégrateur peut satisfaire aux exigences essentielles de cybersécurité énoncées à l’annexe I et aux exigences relatives à la documentation technique énoncées à l’annexe VII lorsque le produit contenant des éléments numériques est destiné à être intégré dans d’autres produits contenant des éléments numériques ;
9.dans le cas où le fabricant met la nomenclature du logiciel à la disposition de l’utilisateur, où il est possible d’accéder à la nomenclature du logiciel.
Annexe III Principaux produits contenant des éléments numériques
Classe I
1.les systèmes de gestion de l’identité, les logiciels et le matériel de gestion des accès privilégiés, y compris les lecteurs d’authentification et de contrôle d’accès, y compris les lecteurs biométriques
2.navigateurs autonomes et intégrés
3.Gestionnaire de mots de passe
4.Logiciel de recherche, de suppression et de mise en quarantaine des logiciels malveillants
5.Produits contenant des éléments numériques ayant une fonction de réseau privé virtuel (VPN)
6.Systèmes de gestion de réseau
7.Systèmes de gestion des informations et des événements de sécurité (SIEM)
8.Gestionnaire de démarrage
9.Infrastructures à clé publique et logiciels pour l’émission de certificats numériques
10.interfaces de réseau physiques et virtuelles
11.Systèmes d’exploitation
12.Routeurs, modems pour la connexion à Internet et commutateurs
13.Microprocesseurs avec fonctions liées à la sécurité
14.Microcontrôleur avec fonctions de sécurité
15.circuits intégrés spécifiques aux applications (ASIC) et FPGA (Field Programmable Gate Array) avec fonctions de sécurité
16.assistants virtuels pour l’environnement domestique intelligent à usage général
17.Produits pour une maison intelligente avec des fonctions de sécurité, y compris des serrures de porte intelligentes, des caméras de sécurité, des systèmes de surveillance pour bébés et des alarmes.
18.les jouets connectés à l’internet relevant de la directive 2009/48/CE du Parlement européen et du Conseil (1 ) et dotés de fonctions d’interaction sociale (parler ou filmer, par exemple) ou de localisation
19.les dispositifs portables destinés à la surveillance de la santé (par exemple, le suivi) qui ne sont pas couverts par les règlements (UE) 2017/745 ou (UE) 2017/746, ou les dispositifs portables destinés à être utilisés par et pour les enfants
Classe II
1.hyperviseurs et systèmes d’exécution de conteneurs prenant en charge l’exécution virtualisée de systèmes d’exploitation et d’environnements similaires
2.Pare-feu, systèmes de détection d’intrusion et systèmes de prévention d’intrusion
3.microprocesseurs inviolables
4.microcontrôleurs inviolables
(1) Directive 2009/48/CE du Parlement européen et du Conseil du 18 juin 2009 relative à la sécurité des jouets (JO L 170 du 30.6.2009, p. 1).
Annexe IV Produits critiques contenant des éléments numériques
1. les dispositifs matériels avec boîtiers de sécurité 2) les passerelles pour compteurs intelligents dans les systèmes intelligents de mesure au sens de l’article 2, point 23, de la directive (UE) 2019/944 du Parlement européen et du Conseil (1 ), ainsi que d’autres dispositifs à des fins de sécurité avancées, y compris le traitement cryptographique sécurisé 3) les cartes à puce ou dispositifs similaires, y compris les éléments de sécurité
(1) Directive (UE) 2019/944 du Parlement européen et du Conseil du 5 juin 2019 concernant des règles communes pour le marché intérieur de l’électricité et modifiant la directive 2012/27/UE (JO L 158 du 14.6.2019, p. 125).
Annexe V Déclaration de conformité UE
La déclaration de conformité UE visée à l’article 28 contient tous les éléments suivants :
1.le nom et le type ainsi que toute information supplémentaire permettant d’identifier clairement le produit avec des éléments numériques
2.le nom et l’adresse du fabricant ou de son mandataire
3.une déclaration indiquant que le fournisseur est seul responsable de l’établissement de la déclaration de conformité UE
4.l’objet de la déclaration (désignation du produit avec des éléments numériques pour la traçabilité, avec photo le cas échéant)
5.une déclaration selon laquelle l’objet de la déclaration décrit ci-dessus est conforme à la législation d’harmonisation de l’Union applicable en la matière
6.les références aux normes harmonisées pertinentes ou aux autres spécifications communes utilisées ou à la certification en matière de cybersécurité pour laquelle la conformité est déclarée
7.le cas échéant, le nom et le numéro d’identification de l’organisme notifié, une description de la procédure d’évaluation de la conformité suivie et le numéro d’identification du certificat délivré
8.autres informations :
Signé pour et au nom de : (lieu et date de délivrance) (nom, fonction) (signature) :
Annexe VI Déclaration simplifiée de conformité UE
La déclaration UE simplifiée de conformité visée à l’article 13, paragraphe 20, est libellée comme suit : Par la présente, … [nom du fabricant] déclare que le type de produit contenant des éléments numériques … [désignation du type de produit contenant des éléments numériques] est conforme au règlement (UE) 2024/2847 (1). Le texte intégral de la déclaration de conformité UE peut être consulté à l’adresse Internet suivante : …
(1) JO L, 2024/2847, 20.11.2024, ELI : http://data.europa.eu/eli/reg/2024/2847/oj.
Annexe VII Contenu de la documentation technique
La documentation technique visée à l’article 31 contient au moins les informations suivantes, dans la mesure où elles sont pertinentes pour le produit numérique en question :
1.une description générale du produit comprenant des éléments numériques, notamment
a) sa destination,
b) les versions de logiciels qui ont une incidence sur le respect des exigences de base en matière de cybersécurité,
c) lorsque le produit contenant des éléments numériques est un produit matériel : photographies ou illustrations montrant les caractéristiques extérieures, le marquage et la structure interne ;
d) les informations et les instructions destinées aux utilisateurs, conformément à l’annexe II ;
2.une description de la conception, du développement et de la fabrication du produit contenant des éléments numériques et des procédures de traitement des vulnérabilités, y compris
a) des informations nécessaires sur la conception et le développement du produit, accompagnées d’éléments numériques, de dessins et de schémas, le cas échéant, et/ou d’une description de l’architecture du système montrant comment les composants logiciels s’articulent entre eux, interagissent et s’intègrent dans le traitement global ;
b) des informations et spécifications nécessaires concernant les procédures de gestion des vulnérabilités adoptées par le fabricant, y compris la nomenclature des logiciels, l’approche de la divulgation coordonnée des vulnérabilités, la preuve de la mise à disposition d’une adresse de contact pour la notification des vulnérabilités et une description des solutions techniques adoptées pour la diffusion sécurisée des mises à jour ;
c) des informations et des spécifications nécessaires concernant les processus de fabrication et de contrôle du produit avec des éléments numériques et la validation de ces processus ;
3.une évaluation des risques de cybersécurité pris en compte lors de la conception, du développement, de la fabrication, de la fourniture et de l’entretien du produit contenant des éléments numériques visé à l’article 13, y compris la mesure dans laquelle les exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, s’appliquent ;
4.les informations pertinentes prises en compte pour déterminer la période de soutien conformément à l’article 13, paragraphe 8, du produit contenant des éléments numériques ;
5.une liste des normes harmonisées dont les références ont été publiées au Journal officiel de l’Union européenne, des spécifications communes visées à l’article 27 du présent règlement ou des schémas européens de certification en cybersécurité visés à l’article 27, paragraphe 8, du présent règlement, adoptés conformément au règlement (UE) 2019/881, appliqués en totalité ou en partie, et, en l’absence de telles normes harmonisées, spécifications communes et schémas européens de certification en cybersécurité, des descriptions des solutions adoptées pour satisfaire aux exigences essentielles de cybersécurité énoncées à l’annexe I, parties I et II, ainsi qu’une liste des autres spécifications techniques pertinentes appliquées. En cas d’utilisation partielle de normes harmonisées, de spécifications communes ou de schémas européens pour la certification en matière de cybersécurité, la documentation technique précise quelles parties ont été appliquées ;
6.les rapports sur les essais et les contrôles effectués pour vérifier la conformité du produit, avec les éléments numériques et les procédures de traitement des vulnérabilités, aux exigences essentielles de cybersécurité applicables énoncées à l’annexe I, parties I et II ;
7.un exemplaire de la déclaration de conformité UE ;
8.le cas échéant, sur demande motivée de l’autorité de surveillance du marché, la nomenclature des logiciels, si cela est nécessaire pour permettre à cette autorité de vérifier la conformité aux exigences essentielles de cybersécurité énoncées à l’annexe I.
Annexe VIII Procédures d’évaluation de la conformité
Partie I Procédures d’évaluation de la conformité sur la base du contrôle interne (sur la base du module A)
1.Le contrôle interne est la procédure d’évaluation de la conformité par laquelle le fabricant remplit les obligations définies aux points 2, 3 et 4 de la présente partie et assure et déclare sous sa seule responsabilité que les produits contenant des éléments numériques sont conformes à toutes les exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et que le fabricant respecte les exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
2.Le fabricant établit la documentation technique conformément à l’annexe VII.
3.Conception, développement, fabrication et traitement des vulnérabilités des produits contenant des éléments numériques
Le fabricant prend toutes les mesures nécessaires pour que les processus de conception, de développement, de fabrication et de gestion des vulnérabilités, ainsi que leur contrôle, garantissent la conformité des produits fabriqués ou développés contenant des éléments numériques et des processus établis par le fabricant avec les exigences essentielles de cybersécurité énoncées à l’annexe I, parties I et II.
4.Marquage de conformité et déclaration de conformité
4.1.Le fabricant appose le marquage “CE” sur chaque produit individuel comportant des éléments numériques qui satisfait aux exigences applicables énoncées dans le présent règlement.
4.2.Pour chaque produit numérique, le fabricant établit une déclaration UE écrite de conformité conformément à l’article 28 et la tient, accompagnée de la documentation technique, à la disposition des autorités nationales pendant une période de dix ans à compter de la mise sur le marché du produit numérique ou pendant la période de soutien, si celle-ci est plus longue. La déclaration UE de conformité doit préciser le produit numérique pour lequel elle a été établie. Une copie de la déclaration UE de conformité est mise à la disposition des autorités compétentes à leur demande.
5.Mandataire
Les obligations du fabricant visées au point 4 peuvent être remplies par son mandataire, en son nom et sous sa responsabilité, pour autant que les obligations pertinentes soient spécifiées dans le mandat.
Partie II Examen de type UE (sur la base du module B)
1.L’examen UE de type est la partie d’une procédure d’évaluation de la conformité par laquelle un organisme notifié examine et vérifie la conception et le développement techniques d’un produit numérique et les procédures de gestion des vulnérabilités établies par le fabricant, puis certifie qu’un produit numérique est conforme aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et que le fabricant satisfait aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
2.L’examen UE de type consiste à évaluer l’adéquation de la conception technique et du développement du produit avec des éléments numériques, sur la base de l’examen de la documentation technique et des preuves supplémentaires visées au point 3, ainsi que de l’examen d’échantillons d’une ou de plusieurs parties importantes du produit (combinaison d’échantillons de construction et de conception).
3.La demande d’examen UE de type est introduite par le fabricant auprès d’un seul organisme notifié de son choix.
La demande contient
3.1.le nom et l’adresse du fabricant et, si la demande est introduite par un mandataire, le nom et l’adresse de ce dernier ;
3.2.une déclaration écrite selon laquelle la même demande n’a pas été introduite auprès d’un autre organisme notifié ;
3.3.la documentation technique permettant d’évaluer la conformité du produit intégrant des éléments numériques aux exigences essentielles de cybersécurité applicables énoncées à l’annexe I, partie I, et les procédures de traitement des vulnérabilités mises en œuvre par le fabricant conformément à l’annexe I, partie II ; elle doit également comporter une analyse et une évaluation appropriées des risques. La documentation technique énumère les exigences applicables et couvre la conception, la fabrication et le fonctionnement du produit intégrant des éléments numériques, dans la mesure où ces éléments sont pertinents pour l’évaluation. Le cas échéant, la documentation technique contient au moins les éléments énumérés à l’annexe VII ;
3.4.des preuves supplémentaires de l’adéquation des solutions de conception et de développement techniques et des procédures de traitement des points faibles. Ces preuves supplémentaires mentionnent tous les documents utilisés, en particulier lorsque les normes harmonisées ou les spécifications techniques pertinentes n’ont pas été pleinement appliquées. Les preuves comprennent, si nécessaire, les résultats d’essais effectués par un laboratoire approprié du fabricant ou par un autre laboratoire d’essai en son nom et sous sa responsabilité.
4.L’organisme notifié
4.1.examine la documentation technique et les preuves supplémentaires afin d’évaluer la conformité de la conception technique et du développement du produit contenant des éléments numériques avec les exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et la conformité des procédures de traitement des vulnérabilités établies par le fabricant avec les exigences essentielles de cybersécurité énoncées à l’annexe I, partie II ;
4.2.vérifie que le ou les échantillons ont été conçus ou fabriqués conformément à la documentation technique, quels sont les éléments qui ont été conçus et mis au point conformément aux dispositions applicables des normes harmonisées ou des spécifications techniques pertinentes et quels sont les éléments qui ont été conçus et mis au point sans application des dispositions pertinentes de ces normes
4.3.effectue ou fait effectuer les contrôles appropriés et les essais nécessaires pour vérifier si, dans le cas où le fabricant a choisi d’appliquer les solutions indiquées dans les normes harmonisées ou les spécifications techniques pertinentes, celles-ci ont été appliquées correctement en ce qui concerne les exigences visées à l’annexe I
4.4.effectue ou fait effectuer les examens et essais appropriés pour vérifier si les solutions adoptées par le fabricant satisfont aux exigences essentielles de cybersécurité correspondantes, lorsque le fabricant n’a pas appliqué les solutions prévues par les normes harmonisées pertinentes ou par les spécifications techniques relatives aux exigences énoncées à l’annexe I
4.5.convient avec le fabricant de l’endroit où les examens et les essais seront effectués.
5.L’organisme notifié établit un rapport d’évaluation des activités réalisées conformément au point 4 et de leurs résultats. Sans préjudice de ses obligations envers les autorités notifiantes, l’organisme notifié ne publie le contenu de ce rapport, ou une partie de celui-ci, qu’avec l’accord du fabricant.
6.Lorsque le type et la procédure de traitement des vulnérabilités satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, l’organisme notifié délivre au fabricant une attestation d’examen UE de type. L’attestation comporte le nom et l’adresse du fabricant, les conclusions de l’examen, les conditions éventuelles de sa validité et les données nécessaires à l’identification du type approuvé et de la procédure de traitement des vulnérabilités. Une ou plusieurs annexes peuvent être jointes à l’attestation.
Le certificat et ses annexes contiennent toutes les informations pertinentes permettant d’évaluer la conformité des produits fabriqués ou développés contenant des éléments numériques avec le type examiné et la conformité des procédures de traitement des vulnérabilités et, le cas échéant, de procéder à un contrôle après leur mise en service. Lorsque le type et les procédures de traitement des vulnérabilités ne sont pas conformes aux exigences essentielles de cybersécurité applicables énoncées à l’annexe I, l’organisme notifié refuse de délivrer une attestation d’examen UE de type et en informe le demandeur, en motivant son refus de manière détaillée.
7.L’organisme notifié se tient informé de toutes les modifications de l’état de la technique généralement reconnu qui indiquent que le type approuvé et les procédures de traitement des vulnérabilités ne satisfont plus aux exigences essentielles de cybersécurité applicables énoncées à l’annexe I, et décide si ces modifications nécessitent des investigations complémentaires. Si tel est le cas, l’organisme notifié en informe le fabricant.
Le fabricant informe l’organisme notifié qui détient la documentation technique relative à l’attestation d’examen UE de type de toutes les modifications apportées au type approuvé et à la procédure de traitement des vulnérabilités qui pourraient compromettre la conformité aux exigences essentielles de cybersécurité énoncées à l’annexe I ou aux conditions de validité de l’attestation. De telles modifications nécessitent une approbation supplémentaire sous la forme d’un complément à l’attestation initiale d’examen UE de type.
8.L’organisme notifié procède régulièrement à des audits afin de s’assurer que les procédures de traitement des vulnérabilités visées à l’annexe I, partie II, sont mises en œuvre de manière adéquate.
9.Chaque organisme notifié informe ses autorités notifiantes des attestations d’examen UE de type et de leurs compléments qu’il a délivrés ou retirés et leur transmet, périodiquement ou sur demande, la liste de toutes les attestations et de leurs compléments qu’il a refusés, suspendus ou soumis à d’autres restrictions.
Chaque organisme notifié informe les autres organismes notifiés des attestations d’examen UE de type et de leurs compléments qu’il a refusés, retirés, suspendus ou soumis à d’autres restrictions et, sur demande, des attestations et de leurs compléments qu’il a délivrés. Sur demande, la Commission, les États membres et les autres organismes notifiés reçoivent une copie des attestations d’examen UE de type et de leurs compléments éventuels. La Commission et les États membres reçoivent, sur demande, une copie de la documentation technique et des résultats des examens effectués par l’organisme notifié. L’organisme notifié conserve une copie des attestations d’examen UE de type, de leurs annexes et compléments, ainsi que du dossier technique, y compris la documentation fournie par le fabricant, jusqu’à ce que la période de validité de l’attestation expire.
10.Le fabricant tient à la disposition des autorités nationales une copie de l’attestation d’examen UE de type, de ses annexes et compléments, ainsi que la documentation technique, pendant une durée de dix ans à compter de la mise sur le marché du produit numérique ou pendant la période d’assistance, si celle-ci est plus longue.
11.Le mandataire du fabricant peut introduire la demande visée au point 3 et s’acquitter des obligations visées aux points 7 et 10 si les obligations pertinentes sont énoncées dans le mandat.
Partie III Conformité au type sur la base du contrôle interne de la fabrication (sur la base du module C)
1.La conformité au type sur la base du contrôle interne de la fabrication est la partie de la procédure d’évaluation de la conformité par laquelle le fabricant remplit les obligations définies aux points 2 et 3 de la présente partie, et assure et déclare que les produits concernés contenant des éléments numériques sont conformes au type décrit dans le certificat d’examen UE de type et satisfont aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et qu’il respecte les exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
2.Production
Le fabricant prend toutes les mesures nécessaires pour que la conformité des produits manufacturés contenant des éléments numériques au type approuvé décrit dans l’attestation d’examen UE de type et aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, soit assurée par la fabrication et le contrôle de celle-ci, et veille à ce qu’il soit satisfait aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie II.
3.Marquage de conformité et déclaration de conformité
3.1.Le fabricant appose le marquage CE sur chaque produit numérique individuel qui est conforme au type décrit dans l’attestation d’examen UE de type et qui satisfait aux exigences applicables définies dans le présent règlement.
3.2.Le fabricant établit une déclaration écrite de conformité pour un modèle de produit et la tient à la disposition des autorités nationales pendant une durée de dix ans à compter de la mise sur le marché du produit intégrant des éléments numériques ou pendant la période de soutien, si celle-ci est plus longue. La déclaration de conformité doit préciser le modèle de produit pour lequel elle a été établie. Une copie de la déclaration de conformité est mise à la disposition des autorités compétentes à leur demande.
4.Représentant autorisé
Les obligations du fabricant visées au point 3 peuvent être remplies par son mandataire, en son nom et sous sa responsabilité, pour autant que les obligations pertinentes soient spécifiées dans le mandat.
Partie IV Conformité sur la base de l’assurance qualité complète (sur la base du module H)
1.La conformité sur la base de l’assurance complète de la qualité est la procédure d’évaluation de la conformité par laquelle le fabricant remplit les obligations définies aux points 2 et 5 et assure et déclare sous sa seule responsabilité que les produits ou catégories de produits numériques concernés sont conformes aux exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et que les procédures de gestion des vulnérabilités mises en place par le fabricant sont conformes aux exigences essentielles énoncées à l’annexe I, partie II.
2.Conception, développement, fabrication et traitement des vulnérabilités des produits contenant des éléments numériques
Le fabricant met en œuvre un système de qualité approuvé, comme spécifié au point 3, pour la conception, le développement, l’inspection finale et les essais des produits concernés intégrant des éléments numériques, ainsi que pour le traitement des points faibles, maintient son efficacité pendant la période de soutien et est soumis à la surveillance visée au point 4.
3.Système d’assurance qualité
3.1.Le fabricant introduit une demande d’évaluation de son système de qualité auprès d’un organisme notifié de son choix, pour les produits concernés contenant des éléments numériques.
La demande contient
a) le nom et l’adresse du fabricant et, si la demande est introduite par un mandataire, le nom et l’adresse de ce dernier ;
b) la documentation technique pour un modèle de chaque catégorie de produits à fabriquer ou à développer contenant des éléments numériques ; la documentation technique contient, le cas échéant, au moins les éléments énumérés à l’annexe VII ;
c) la documentation relative au système d’assurance qualité ;
d) une déclaration écrite selon laquelle la même demande n’a pas été introduite auprès d’un autre organisme notifié.
3.2.Le système d’assurance qualité garantit la conformité du produit contenant des éléments numériques avec les exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, et la conformité des procédures de traitement des vulnérabilités établies par le fabricant avec les exigences essentielles énoncées à l’annexe I, partie II.
Tous les éléments, exigences et dispositions adoptés par le fabricant doivent être réunis de manière systématique et ordonnée dans une documentation sous la forme de politiques, de procédures et d’instructions écrites. Cette documentation sur le système de qualité permet une interprétation uniforme des programmes, plans, manuels et enregistrements relatifs à la qualité. Elle comprend en particulier une description adéquate des points suivants
a) des objectifs de qualité, de l’organigramme, des responsabilités des cadres et de leurs pouvoirs en matière de conception, de développement, de qualité des produits et de traitement des points faibles
b) les spécifications techniques de conception et de développement, y compris les normes appliquées, et, lorsque les normes harmonisées ou les spécifications techniques pertinentes ne sont pas pleinement appliquées, les moyens mis en œuvre pour garantir le respect des exigences essentielles de cybersécurité énoncées à l’annexe I, partie I, qui s’appliquent aux produits comportant des éléments numériques ;
c) les spécifications de procédé, y compris les normes appliquées, et, lorsque les normes harmonisées ou les spécifications techniques pertinentes ne sont pas entièrement appliquées, les moyens mis en œuvre pour garantir que les exigences essentielles de cybersécurité énoncées à l’annexe I, partie II, qui s’appliquent au fabricant sont respectées ;
d) les techniques de contrôle de la conception et du développement, ainsi que les techniques de vérification des résultats de la conception et du développement, les procédés et les actions systématiques qui seront utilisés lors de la conception et du développement des produits intégrant des éléments numériques appartenant à la catégorie de produits concernée ;
e) les techniques, les processus et les actions systématiques correspondants qui seront utilisés pour la fabrication, la maîtrise de la qualité et l’assurance de la qualité ;
f) des contrôles et des essais qui seront effectués avant, pendant et après la fabrication, et de la fréquence à laquelle ils auront lieu
g) les enregistrements relatifs à la qualité, tels que les rapports de contrôle, les données d’essai et d’étalonnage et les rapports sur les qualifications du personnel employé dans ce domaine ;
h) des moyens permettant de surveiller la réalisation de l’objectif de qualité de la conception et des produits ainsi que le fonctionnement efficace du système de qualité.
3.3.L’organisme notifié évalue le système de qualité pour déterminer s’il répond aux exigences visées au point 3.2.
Elle présume la conformité à ces exigences pour les éléments du système de qualité qui sont conformes aux spécifications correspondantes de la norme nationale transposant la norme harmonisée pertinente ou aux spécifications techniques pertinentes. Outre son expérience des systèmes de gestion de la qualité, l’équipe d’audit comprend au moins un membre expérimenté en matière d’évaluation dans le domaine et la technologie concernés du produit et ayant une connaissance des exigences applicables définies dans le présent règlement. L’audit comprend une visite d’inspection dans les locaux du fabricant, s’il en existe. L’équipe d’auditeurs examine la documentation technique visée au point 3.1 b) afin de s’assurer de la capacité du fabricant à identifier les exigences applicables définies dans le présent règlement et à réaliser les examens nécessaires pour garantir la conformité du produit avec des éléments numériques à ces exigences. La décision est notifiée au fabricant ou à son mandataire. La notification contient les résultats de l’audit et la justification de la décision d’évaluation.
3.4.Le fabricant s’engage à remplir les obligations découlant du système de qualité approuvé et à faire en sorte qu’il reste adéquat et efficace.
3.5.Le fabricant informe l’organisme notifié qui a approuvé le système de qualité de tout projet de modification de ce système.
L’organisme notifié évalue les modifications proposées et décide si le système de qualité modifié répondra encore aux exigences visées au point 3.2 ou si une réévaluation est nécessaire. Il notifie sa décision au fabricant. La notification contient les conclusions du contrôle et la justification de la décision d’évaluation.
4.Surveillance sous la responsabilité de l’organisme notifié
4.1.Le but de la surveillance est de s’assurer que le fabricant remplit correctement les obligations découlant du système de qualité approuvé.
4.2.Le fabricant autorise l’organisme notifié à accéder, à des fins d’évaluation, aux lieux de conception, de fabrication, d’inspection, d’essai et de stockage et lui fournit toute information nécessaire, notamment
a) la documentation sur le système d’assurance qualité,
b) les dossiers de qualité prévus dans la partie du système de qualité consacrée à la conception, tels que les résultats des analyses, des calculs et des essais,
c) les dossiers de qualité prévus dans la partie du système de qualité consacrée à la fabrication, tels que les rapports d’inspection et les données d’essais et d’étalonnage, les rapports sur la qualification du personnel concerné.
4.3.L’organisme notifié procède régulièrement à des audits pour s’assurer que le fabricant maintient et applique le système de qualité et fournit un rapport d’audit au fabricant.
5.Marquage de conformité et déclaration de conformité
5.1.Le fabricant appose le marquage “CE” et, sous la responsabilité de l’organisme notifié visé au paragraphe 3.1, le numéro d’identification de ce dernier sur chaque produit numérique individuel qui satisfait aux exigences énoncées à l’annexe I, partie I. Le marquage “CE” est apposé sur chaque produit numérique individuel qui satisfait aux exigences énoncées à l’annexe I, partie II.
5.2.Le fabricant établit une déclaration écrite de conformité pour chaque modèle de produit et la tient à la disposition des autorités nationales pendant une durée de dix ans à compter de la mise sur le marché du produit numérique ou pendant la période d’assistance, si celle-ci est plus longue. La déclaration de conformité doit préciser le modèle de produit pour lequel elle a été établie.
Une copie de la déclaration de conformité est mise à la disposition des autorités compétentes sur demande.
6.Le fabricant tient à la disposition des autorités nationales, pendant une période d’au moins dix ans après la mise sur le marché du produit numérique ou pendant la période d’assistance si celle-ci est plus longue, les documents suivants :
a) la documentation technique visée au point 3.1,
b) la documentation sur le système de qualité visé au point 3.1,
c) la modification visée au point 3.5 telle qu’elle a été approuvée,
d) les décisions et rapports de l’organisme notifié visés aux points 3.5 et 4.3.
7.Chaque organisme notifié informe ses autorités notifiantes des approbations de systèmes de qualité qu’il a délivrées ou retirées et leur transmet, périodiquement ou sur demande, la liste des approbations de systèmes de qualité qu’il a refusées, suspendues ou soumises à d’autres restrictions.
Chaque organisme notifié informe les autres organismes notifiés des approbations de systèmes de qualité qu’il a refusées, suspendues ou retirées et, sur demande, des approbations de systèmes de qualité qu’il a délivrées.
8.Représentant autorisé
Les obligations du fabricant visées aux points 3.1, 3.5, 5 et 6 peuvent être remplies par son mandataire, en son nom et sous sa responsabilité, pour autant que les obligations pertinentes soient spécifiées dans le mandat.